Rekod penuh proses simulasi sebenar pengesahan log masuk JWT

Selepas kompilasi teliti oleh editor PHP Banana, kami memperkenalkan kepada anda rekod penuh popular proses simulasi pembangunan sebenar - simulasi sebenar pengesahan log masuk JWT. JWT (JSON Web Token) ialah standard terbuka untuk pengesahan Ia menghasilkan token (Token) selepas pengguna berjaya log masuk, dan pengguna membawa token ini dalam permintaan seterusnya untuk pengesahan identiti. Artikel ini akan memberikan analisis mendalam tentang proses pelaksanaan pengesahan log masuk JWT dan menyediakan rakaman demonstrasi praktikal yang komprehensif Dalam proses tersebut, kami akan membawa anda memahami prinsip JWT dan cara menerapkannya dalam pembangunan sebenar. Sama ada anda seorang pemula atau pembangun berpengalaman, anda boleh memperoleh pengetahuan dan pengalaman praktikal yang berharga daripada artikel ini.

Proses pengesahan token

• Sebagai penyelesaian pengesahan merentas domain yang paling popular, JWT (JSON WEB Token) amat disayangi oleh pemaju Proses utama adalah seperti berikut: pelanggan dan kata laluan Permintaan untuk log masuk
• Pelayan menerima permintaan dan mengesahkan sama ada kata laluan akaun lulus
• Selepas pengesahan berjaya, pelayan akan menjana token unik dan mengembalikannya kepada pelanggan
• Pelanggan menerima token dan menyimpannya dalam kuki atau Setiap kali pelanggan menghantar permintaan kepada pelayan selepas
• dalam localStroge, token akan dibawa melalui kuki atau pengepala
• Pelayan mengesahkan kesahihan token, dan hanya mengembalikan data respons selepas lulus. ia.
Kelebihan pengesahan token

Menyokong akses merentas domain: Kuki tidak membenarkan akses merentas domain Ini tidak wujud untuk mekanisme Token yang dihantar melalui

Http
• header Stateless: Mekanisme Token tidak perlu disimpan pada maklumat sesi pelayan, kerana Token itu sendiri mengandungi maklumat semua pengguna yang log masuk, hanya maklumat status yang perlu disimpan dalam klien. cookie atau media tempatan
• Kesesuaian yang lebih luas: Selagi pelanggan menyokong protokol http, pengesahan token boleh digunakan.
• Tidak perlu mempertimbangkan CSRF: Memandangkan ia tidak lagi bergantung pada kuki, tiada CSRF akan berlaku apabila menggunakan pengesahan token, jadi tidak perlu mempertimbangkan pertahanan CSRF
• JWT structure

JWT sebenarnya adalah

string
• , ia Ia terdiri daripada tiga bahagian: pengepala, muatan dan tandatangan. Gunakan titik di tengah untuk memisahkannya kepada tiga bahagian. Ambil perhatian bahawa tiada pemisah baris di dalam JWT.

?

Pengepala/pengepala

pengepala terdiri daripada dua bahagian: token taip JWT dan

algoritma

Hheader 由两部分组成： token 的类型 JWT 和算法名称：H<strong class="keylink">Mac</strong>、SHA256、RSA

{
"alg": "HS256",
"typ": "JWT"
}

? 载荷 / Payload

Payload 部分也是一个 <strong class="keylink">js</strong>ON 对象，用来存放实际需要传递的数据。JWT 指定七个默认字段供选择。

除了默认字段之外，你完全可以添加自己想要的任何字段，一般用户登录成功后，就将用户信息存放在这里

iss：发行人
exp：到期时间
sub：主题
aud：用户
nbf：在此之前不可用
iat：发布时间
jti：JWT ID用于标识该JWT

{
"iss": "xxxxxxx",
"sub": "xxxxxxx",
"aud": "xxxxxxx",
"user": [
	'username': '极客飞兔',
	'gender': 1,
	'nickname': '飞兔小哥' 
 ] 
}

• ? 签名 / Signature
• 签名部分是对上面的 头部、载荷 两部分数据进行的数据签名
• 为了保证数据不被篡改，则需要指定一个密钥，而这个密钥一般只有你知道，并且存放在服务端
• 生成签名的代码一般如下：

// 其中secret 是密钥
String signature = HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

JWT 基本使用

• 客户端收到服务器返回的 JWT，可以储存在 Cookie 里面， 也可以储存在 localStorage
• 然后 客户端每次与服务器通信，都要带上这个 JWT
• 把 JWT 保存在 Cookie 里面发送请求，这样不能跨域
• 更好的做法是放在 HTTP 请求的头信息 Authorization 字段里面

fetch('license/login', {
	headers: {
		'Authorization': 'X-TOKEN' + token
	}
})

实战：使用 JWT 登录认证

这里使用 Think<strong class="keylink">PHP</strong>6 整合 JWT 登录认证进行实战模拟

? 安装 JWT 扩展

composer require firebase/php-jwt

? 封装生成 JWT 和解密方法

<?php


namespace app\services;

use app\Helper;
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

class JwtService
{
protected $salt;

public function __construct()
{
//从配置信息这种或取唯一字符串，你可以随便写比如md5(&#39;token&#39;)
$this->salt = config(&#39;jwt.salt&#39;) || "autofelix";
}

// jwt生成
public function generateToken($user)
{
$data = array(
"iss" => &#39;autofelix&#39;,//签发者 可以为空
"aud" => &#39;autofelix&#39;, //面象的用户，可以为空
"iat" => Helper::getTimestamp(), //签发时间
"nbf" => Helper::getTimestamp(), //立马生效
"exp" => Helper::getTimestamp() + 7200, //token 过期时间 两小时
"user" => [ // 记录用户信息
&#39;id&#39; => $user->id,
&#39;username&#39; => $user->username,
&#39;truename&#39; => $user->truename,
&#39;phone&#39; => $user->phone,
&#39;email&#39; => $user->email,
&#39;role_id&#39; => $user->role_id
]
);
$jwt = JWT::encode($data, md5($this->salt), &#39;HS256&#39;);
return $jwt;
}

// jwt解密
public function chekToken($token)
{
JWT::$leeway = 60; //当前时间减去60，把时间留点余地
$decoded = JWT::decode($token, new Key(md5($this->salt), &#39;HS256&#39;));
return $decoded;
}
}

? 用户登录后，生成 JWT 标识

<?php
declare (strict_types=1);

namespace app\controller;

use think\Request;
use app\ResponseCode;
use app\Helper;
use app\model\User as UserModel;
use app\services\JwtService;

class License
{
public function login(Request $request)
{
$data = $request->only([&#39;username&#39;, &#39;passWord&#39;, &#39;code&#39;]);

// ....进行验证的相关逻辑...
$user = UserModel::where(&#39;username&#39;, $data[&#39;username&#39;])->find();
		
		// 验证通过生成 JWT, 返回给前端保存
$token = (new JwtService())->generateToken($user);

return json([
&#39;code&#39; => ResponseCode::SUCCESS,
&#39;message&#39; => &#39;登录成功&#39;,
&#39;data&#39; => [
&#39;token&#39; => $token
]
]);
}
}

? 中间件验证用户是否登录

在 middleware.phpMac, SHA256, RSA

<?php
// 全局中间件定义文件
return [
	// ...其他中间件
// JWT验证
\app\middleware\Auth::class
];

Payload/ Payload

🎜🎜PayloadThe > bahagian juga merupakan objek 🎜js🎜ON, digunakan untuk menyimpan data sebenar yang perlu dihantar. JWT menentukan tujuh medan lalai untuk dipilih. 🎜🎜Selain medan lalai, anda boleh menambah mana-mana medan yang anda mahu Secara amnya, selepas pengguna berjaya log masuk, maklumat pengguna akan disimpan di sini🎜

🎜iss: issuer 🎜exp: masa tamat tempoh🎜sub: Topik. 🎜aud: Pengguna 🎜nbf: Tidak tersedia sebelum ini 🎜iat: Masa keluaran 🎜jti: ID JWT digunakan untuk mengenal pasti JWT ini 🎜

🎜

<?php
declare (strict_types=1);

namespace app\middleware;

use app\ResponseCode;
use app\services\JwtService;

class Auth
{
private $router_white_list = [&#39;login&#39;];

public function handle($request, \Closure $next)
{
if (!in_array($request->pathinfo(), $this->router_white_list)) {
$token = $request->header(&#39;token&#39;);

try {
	// jwt 验证
$jwt = (new JwtService())->chekToken($token);
} catch (\Throwable $e) {
return json([
&#39;code&#39; => ResponseCode::ERROR,
&#39;msg&#39; => &#39;Token验证失败&#39;
]);
}

$request->user = $jwt->user;
}

return $next($request);
}
}

🎜🎜 🎜Tandatangan/Tandatangan di atas 🎜Tandatangan/Tandatangan yang betul 🎜 tandatangan untuk pengepala dan bahagian muatan 🎜🎜Untuk memastikan data tidak diusik, anda perlu menentukan kunci, dan kunci ini secara amnya hanya diketahui oleh anda dan disimpan pada pelayan 🎜🎜Kod untuk menjana tandatangan secara amnya adalah seperti berikut ：🎜🎜🎜rrreee🎜JWT kegunaan asas🎜🎜🎜Pelanggan menerima JWT yang dikembalikan oleh pelayan🎜, yang boleh disimpan dalam kuki atau dalam localStorage🎜🎜Kemudian pelanggan mesti membawa ini setiap kali ia berkomunikasi dengan pelayan JWT🎜🎜Simpan JWT dalam Cookie untuk menghantar permintaan, jadi ia tidak boleh merentas domain🎜🎜Cara yang lebih baik ialah meletakkannya dalam medan Kebenaran maklumat pengepala permintaan HTTP🎜🎜🎜rrreee🎜Pertempuran praktikal: Gunakan Pengesahan log masuk JWT🎜🎜Gunakan Think🎜PHP🎜6 menyepadukan JWT pengesahan log masuk untuk simulasi sebenar🎜🎜 🎜Pasang sambungan JWT 🎜🎜🎜🎜🎜🎜 kaedah penjanaan dan penyahsulitan🎜🎜🎜rrreee🎜? 🎜Selepas pengguna log masuk, jana pengenalan JWT🎜🎜🎜rrreee🎜 🎜Middleware mengesahkan sama ada pengguna telah log masuk phpmiddleware🎜🎜🎜🎜 🎜🎜🎜rrreee🎜Selepas mendaftar middleware, Tingkatkan logik pengesahan dalam middleware pengesahan kebenaran🎜

<?php
declare (strict_types=1);

namespace app\middleware;

use app\ResponseCode;
use app\services\JwtService;

class Auth
{
private $router_white_list = [&#39;login&#39;];

public function handle($request, \Closure $next)
{
if (!in_array($request->pathinfo(), $this->router_white_list)) {
$token = $request->header(&#39;token&#39;);

try {
	// jwt 验证
$jwt = (new JwtService())->chekToken($token);
} catch (\Throwable $e) {
return json([
&#39;code&#39; => ResponseCode::ERROR,
&#39;msg&#39; => &#39;Token验证失败&#39;
]);
}

$request->user = $jwt->user;
}

return $next($request);
}
}

附：为什么使用jwt而不使用session

• session是将客户端数据储存在服务器的内存，当客服端的数据过多，服务器的内存开销大；
• session的数据储存在某台服务器，在分布式的项目中无法做到共享；
• jwt的安全性更好。

总而言之，如果使用了分布式，切只能在session和jwt里面选的时候，就一定要选jwt。

Atas ialah kandungan terperinci Rekod penuh proses simulasi sebenar pengesahan log masuk JWT. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!