我应该如何实现'；基于令牌的身份验证'；使用PHP和MySQL(不使用OAuth）以安全的方式连接到一组we

我使用Slim框架在PHP中开发了一些web API，移动应用程序（iOS和Android）使用这些API来处理请求并获取所需数据。

最终，在每个API中，我都会将从移动应用程序接收到的请求发送到我网站代码库中的相应功能。然后，相应的函数接受请求和请求参数，处理请求并返回所需的数据。然后API以JSON格式将数据返回到移动应用程序。这是当前的工作流程。

现在，我想让网站资源的可用性（即来自网站代码库和数据的功能）受到用户身份验证。简而言之，我想在这个场景中实现"基于令牌的身份验证"方案。

以下应该是我实现"基于令牌的身份验证"后的流程：

1. 当用户通过向登录API发送请求中的用户名和密码首次登录系统时，在成功验证该特定用户的用户名和口令组合后，将生成一个安全令牌。这个安全令牌还将与用户名/密码/一些散列值一起存储到一些MySQL数据库表中，以在进一步处理中识别用户。如果验证失败，则不应生成安全令牌，用户也不应登录

2. 登录成功后，生成的安全令牌将在登录API成功响应中发送回用户。现在，直到用户使用每个后续请求登录，该令牌将被发送到相关的API，并最终被发送到身份验证功能，以验证其有效性。

3. 如果有任何请求发送了无效令牌，则应发送"请先登录"消息作为响应，并且网站资源不应获得访问权限。

4. 一旦用户注销，应该从数据库中删除此安全令牌条目，或者对其采取任何适当的操作

由于我职业生涯中第一次从事"基于令牌的身份验证"，我可能对上述方法有误。如果我做错了什么，请纠正我的错误。

我发现了以下链接，但我觉得这些链接没有多大用处，因为它们缺乏逐步描述的工作代码示例：

使用Phalcon Micro框架的PHP HMAC Restful API

JWT 的PEAR包

如果你能为我提供完整的代码，包括数据库表的创建、PHP和MySQL之间的连接，然后创建安全令牌，检查当前登录用户的安全令牌的有效性等，这对我来说真的很棒。

此外，如果你能给出上面两个（或两个）选项中任何一个的工作代码示例作为你对这个问题的回答，那也将是非常棒的。如果除了我提供的两个完整的工作代码示例之外，你还有其他选择，欢迎你给出答案。

注意：-请不要建议我使用OAuth身份验证过程。

以下是我自己尝试的代码，但我不知道它是对是错。我的方法是正确的还是错误的？

为了创建一个令牌，我使用这个函数，它将用户的数据作为参数

define('SECRET_KEY', "fakesecretkey");
function createToken($data)
{
    /* Create a part of token using secretKey and other stuff */
    $tokenGeneric = SECRET_KEY.$_SERVER["SERVER_NAME"]; // It can be 'stronger' of course
    /* Encoding token */
    $token = hash('sha256', $tokenGeneric.$data);
    return array('token' => $token, 'userData' => $data);
}

因此，用户可以对自己进行身份验证，并接收一个数组，该数组包含一个令牌（genericPart+his数据，已编码）和hisData未编码：

function auth($login, $password)
{
    // we check user. For instance, it's ok, and we get his ID and his role.
    $userID = 1;
    $userRole = "admin";
    // Concatenating data with TIME
    $data = time()."_".$userID."-".$userRole;
    $token = createToken($data);
    echo json_encode($token);
}

然后用户可以向我发送他的代币+他的未编码数据，以便检查：

define('VALIDITY_TIME', 3600);
function checkToken($receivedToken, $receivedData)
{
    /* Recreate the generic part of token using secretKey and other stuff */
    $tokenGeneric = SECRET_KEY.$_SERVER["SERVER_NAME"];
    // We create a token which should match
    $token = hash('sha256', $tokenGeneric.$receivedData);   
    // We check if token is ok !
    if ($receivedToken != $token)
    {
        echo 'wrong Token !';
        return false;
    }
    list($tokenDate, $userData) = explode("_", $receivedData);
    // here we compare tokenDate with current time using VALIDITY_TIME to check if the token is expired
    // if token expired we return false
    // otherwise it's ok and we return a new token
    return createToken(time()."#".$userData);   
}
$check = checkToken($_GET['token'], $_GET['data']);
if ($check !== false)
    echo json_encode(array("secureData" => "Oo")); // And we add the new token for the next request

我说得对吗？

+--------+                               +---------------+
 |        |--(A)- Authorization Request ->|   Resource    |
 |        |                               |     Owner     |
 |        |<-(B)-- Authorization Grant ---|               |
 |        |                               +---------------+
 |        |
 |        |                               +---------------+
 |        |--(C)-- Authorization Grant -->| Authorization |
 | Client |                               |     Server    |
 |        |<-(D)----- Access Token -------|  (Slim API)   |
 |        |                               +---------------+
 |        |
 |        |                               +---------------+
 |        |--(E)----- Access Token ------>|    Resource   |
 |        |                               |     Server    |
 |        |<-(F)--- Protected Resource ---|               |
 +--------+                               +---------------+

 Request:
 GET /v1/products/coffee
 Private key: 
 ww9k6fcysu30sbuzu7ez57z2kzvefyxwosrjcnwo

hash_hmac("sha1", "GET /v1/products/coffee", "ww9k6fcysu30sbuzu7ez57z2kzvefyxwosrjcnwo");

hash_hmac("sha1", $_SERVER['REQUEST_METHOD'] . " " . $_SERVER['REDIRECT_URL'], $user_private_key);

$bodyhash = md5(implode(",", $_POST));