laravel JWT 用户认证 实现API认证

JWT 是 JSON Web Token 的缩写，它是一个规范，让用户和服务器之间传递安全可靠的信息。

JWT介绍

JWT 由头部（header）、载荷（payload）与签名（signature）组成

{
“typ”:“JWT”,
“alg”:“HS256”
}
{
“iss”: “http://package.test”,
“iat”: 1673495574,
“exp”: 1673499174,
“nbf”: 1673495574,
“jti”: “uuid”,
“sub”: 1,
“prv”: “87e0af1ef9fd15812fdec97153a14e0b047546aa”
}
signature

1. 头部申明了加密算法；
2. 载荷中中记录了一些关键数据：

iss: 签发者，也就是 package.test ;
iat 签发时间；
exp 过期时间；
nbf 在这个时间之前，该 JWT 都是不可用的，一般同签发时间 iat；
jti 唯一标识符，防止重放攻击。
sub 用户标识，这里是用户 ID
prv 扩展包自定义字段，模型名的哈希值，等于sha1(‘App\User’)，用于区别不同的模型

3. signature 是由服务器进行的签名，保证了 token 不被篡改

JWT 最后是通过 Base64 编码的，也就是说，它可以被翻译回原来的样子来的。所以不要在 JWT 中存放一些敏感信息。

3.signature 是由服务器进行的签名，保证了 token 不被篡改
这里使用的是tymon/jwt-auth，在 Laravel 中安装 tymon/jwt-auth 这个扩展包就可以很方便的使用 JWT 了

安装

安装tymon/jwt-auth

composer require tymon/jwt-auth

发布配置

php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

生成secret

php artisan jwt:secret

这个命令会在 env 中增加一个 JWT_SECRET，secret 是十分重要的，用于给 Token 签名，更换这个 secret
会导致之前生成的所有 Token 无效，所以不要随意的更换这个secret

接入

创建 Token
需要修改一下 User 模型,在该模型中，需要实现扩展包提供的接口 Tymon\JWTAuth\Contracts\JWTSubject

实现两个方法
getJWTIdentifier 返回模型的 id
getJWTCustomClaims 存放自定义的数据用于放在 Token 中

	public function getJWTIdentifier()
    {
        return $this->getKey();
    }

    public function getJWTCustomClaims()
    {
        return [];
    }

结合 Laravel Auth

修改一下配置：config/auth.php

'guards' => [
        'web' => [
            'driver' => 'session',
            'provider' => 'users',
        ],

        'api' => [
            'driver' => 'jwt',      // 原来是 token 改成jwt
            'provider' => 'users',
        ],
    ],

用到的接口

对于 API 来说一般需要以下几个接口：

login 用户登录，获取 JWT；
refresh 刷新 JWT；
logout 退出登录，注销 JWT;
user 获取当前 JWT 对应的用户。

以下调用需配置路由

在routes/api.php配置路由

//获取token
    Route::post('/user/token','UserController@token')->name('user.token');
    //刷新token
    Route::post('/user/refresh','UserController@refresh')->name('user.refresh');
    //退出登录
    Route::post('/user/logout','UserController@logout')->name('user.logout');
    //获取当前用户
    Route::post('/user/user','UserController@user')->name('user.user');

值得注意的是,由于我在app/Http/Controllers里面新建了一个Api目录，所有的API控制器都放在里面，所以需要去app/Providers/RouteServiceProvider.php的mapApiRoutes修改一个默认命名空间，找到mapApiRoutes函数

protected function mapApiRoutes()
    {
        Route::prefix('api')
             ->middleware('api')
             ->namespace($this->namespace,'\Api')//这里指明了命名空间
             ->group(base_path('routes/api.php'));
    }

1.用户登录也就是获取token

/**
     * 获取token
     * @param $request
     * @return JsonResponse
     */
    public function getToken($request): JsonResponse
    {
        //使用email和密码验证
        $credentials = $request->only('email', 'password');
        if (!$token = auth('api')->attempt($credentials)) {
            return response()->json(['error' => 'Authentication failed!Please confirm the account password'], 401);
        }
        return $this->respondWithToken(['token' => $token]);
    }

使用的统一规范响应

/**
     * 获取token统一响应格式
     * @param $token
     * @return JsonResponse
     */
    protected function respondWithToken($token): JsonResponse
    {
        return response()->json([
            'access_token' => $token,
            'token_type' => 'Bearer',
            'expires_in' => auth('api')->factory()->getTTL() * 60
        ]);
    }

调用一下api,成功了

2.refresh刷新token

/**
     * 刷新token
     * @return JsonResponse
     */
    public function refreshToken(): JsonResponse
    {
        return $this->respondWithToken(auth('api')->refresh());
    }

调用成功

引用

任何一个永久有效的 token 都是相当危险的,通过任意方式泄露了 token 之后，
用户的相关信息都有可能被利用。所以为了安全考虑，任何一种令牌的机制，都会有过期时间,
那么 token 过期以后，难道要用户重新登录吗？
像 OAuth 2.0 有 refresh_token 可以用来刷新一个过期的 access_token，jwt-auth 同样也为我们提供了刷新的机制，
只要在可刷新的时间范围内，即使 JWT 过期了，依然可以调用接口，换取一个新的 JWT。这对于客户端长期保持用户登录状态是十分重要的。

在生成的jwt配置中config/jwt.php,我们需要特别了解以下两个配置

3.logout 退出登录(注销 JWT)

• jwt.ttl (JWT_TTL) 多长时间以后 JWT 就过期了 （单位分钟）；
• jwt.refresh_ttl (JWT_REFRESH_TTL) 多长时间以内， JWT 可以再次被刷新（单位分钟）。
  一般情况下 refresh_ttl 应该大于 ttl，也就是 JWT 过期以后，依然可以刷新一个新的 JWT。

用户退出登录的时候，是需要将当前这个 JWT 注销的，但是 JWT 本身不用存储在服务端，因为本身已经包含了足够的信息以及签名，那如何来完成注销呢？其实是利用了黑名单，删除只是将 JWT 加入黑名单（Laravel 缓存）而已，加入黑名单的 JWT 都是无法继续使用的。

调用成功

4.user 获取登录用户

public function user(): JsonResponse
    {
        $user = auth('api')->user();
        return response()->json($user);
    }

调用