如何在PHP微服務中實現身份驗證與權限控制

如何在PHP微服務中實現身份驗證和權限控制

隨著互聯網服務的不斷發展，越來越多的應用程式採用了微服務架構來提高系統的可擴展性和可維護性。在微服務架構中，身分驗證和權限控制是非常重要的一環，它可以保護系統的安全性、保證使用者資料的保密性，並且確保只有經過授權的使用者才能存取特定的資源。

本文將介紹如何在PHP微服務中實現身份驗證和權限控制，並提供對應的程式碼範例。

1. JWT身份驗證

Json Web Token (JWT) 是一種實現身份驗證和授權的安全傳輸物件的方法。它由三個部分組成：頭部、負荷和簽名。首先，我們需要安裝 firebase/php-jwt 函式庫來實作JWT身份驗證。

composer require firebase/php-jwt

接下來，我們可以建立一個 AuthController 類，用於處理使用者驗證相關的邏輯。

use FirebaseJWTJWT;

class AuthController {
    private $secret = "your-secret-key";

    public function login($username, $password) {
        // 验证用户名和密码
        if ($username == "admin" && $password == "password") {
            // 生成JWT
            $tokenId = base64_encode(random_bytes(32));
            $issuedAt = time();
            $expire = $issuedAt + 60; // Token 有效期为60秒

            $data = [
                'iat' => $issuedAt,
                'jti' => $tokenId,
                'exp' => $expire,
                'data' => [
                    // 可以存储用户ID、权限等信息
                    'userId' => 1,
                    'role' => 'admin'
                ]
            ];

            $jwt = JWT::encode($data, $this->secret, 'HS256');

            return $jwt;
        } else {
            throw new Exception('Invalid credentials');
        }
    }

    public function verifyToken($jwt) {
        try {
            $decoded = JWT::decode($jwt, $this->secret, ['HS256']);
            return (array) $decoded->data;
        } catch (Exception $e) {
            throw new Exception('Invalid token');
        }
    }
}

以上程式碼實作了登入邏輯和驗證JWT的邏輯。在登入過程中，我們首次產生JWT，並將其傳回給使用者。使用者在每次請求時，需要在請求的頭部包含JWT。伺服器可以透過驗證JWT的方式來確認使用者的身份。

2. 權限控制

在實作了驗證後，我們還需要進行權限控制。我們可以建立一個 Permission 類，用於檢查使用者權限。

class Permission {
    public function checkPermission($role, $resource) {
        // 根据用户角色和资源来检查权限
        $permissions = [
            'admin' => ['create', 'read', 'update', 'delete'],
            'user' => ['read', 'create']
        ];

        if (isset($permissions[$role]) && in_array($resource, $permissions[$role])) {
            return true;
        } else {
            return false;
        }
    }
}

在微服務中的控制器中，我們可以使用 AuthController 和 Permission 類別來實作驗證和權限控制。

class UserController {
    private $authController;
    private $permission;

    public function __construct() {
        $this->authController = new AuthController();
        $this->permission = new Permission();
    }

    public function create($username, $password) {
        // 验证用户身份
        $jwt = $this->authController->login($username, $password);

        // 可以将生成的JWT存储在会话、Cookie或者返回给客户端
        // ...

        // 检查用户权限
        $decoded = $this->authController->verifyToken($jwt);

        if ($this->permission->checkPermission($decoded['role'], 'create')) {
            // 创建用户的逻辑
            // ...
        } else {
            throw new Exception('Permission denied');
        }
    }
}

在上述程式碼中，我們呼叫了 AuthController 類別的 login 方法來實作登入邏輯，並將傳回的JWT傳回給使用者。在create 方法中，我們先透過verifyToken 方法驗證JWT的有效性，然後再呼叫Permission 類別的checkPermission 方法檢查用戶是否具有創建使用者的權限。

總結
在PHP微服務中實現身分驗證和權限控制是非常重要的一環。透過JWT身份驗證和權限檢查類別的結合，我們可以實現安全可靠的身份驗證和權限控制。以上提供的程式碼範例可以幫助您快速理解和實現這些功能。切記，在生產環境中應該對程式碼進行更詳細和全面的測試，並根據實際需求進行擴展和最佳化。

以上是如何在PHP微服務中實現身份驗證與權限控制的詳細內容。更多資訊請關注PHP中文網其他相關文章！