PHP實現(xiàn)JWT的Token登錄認(rèn)證
1、JWT簡介
JSON Web Token（縮寫 JWT），是目前最流行的跨域認(rèn)證解決方案。
session登錄認(rèn)證方案：用戶從客戶端傳遞用戶名、密碼等信息，服務(wù)端認(rèn)證后將信息存儲在session中，將session_id放到cookie中。
以后訪問其他頁面，自動從cookie中取到session_id，再從session中取認(rèn)證信息。
另一類解決方案，將認(rèn)證信息，返回給客戶端，存儲到客戶端。下次訪問其他頁面，需要從客戶端傳遞認(rèn)證信息回服務(wù)端。
JWT就是這類方案的代表，將認(rèn)證信息保存在客戶端。
2、JWT 的原理
JWT 的原理是，服務(wù)器認(rèn)證以后，生成一個 JSON格式的 對象，發(fā)回給客戶端，就像下面這樣。
{
"用戶名": "admin",
"角色": "超級管理員",
"到期時間": "2019-07-13 00:00:00"
}
以后，客戶端與服務(wù)端通信的時候，都要發(fā)回這個 JSON 對象。服務(wù)器完全只靠這個對象認(rèn)定用戶身份。
為了防止用戶篡改數(shù)據(jù)，服務(wù)器在生成這個對象的時候，會加上簽名（詳見后文）。
服務(wù)器不再保存任何 session 數(shù)據(jù)，也就是服務(wù)器變成無狀態(tài)了，從而比較容易實現(xiàn)擴展。
3、JWT 的使用方式
客戶端收到服務(wù)器返回的 JWT，可以儲存在 Cookie 里面，也可以儲存在 localStorage。
此后，客戶端每次與服務(wù)器通信，都要帶上這個 JWT。你可以把它放在 Cookie 里面自動發(fā)送，但是這樣不能跨域，所以更好的做法是放在 HTTP 請求的頭信息Authorization字段里面。
Authorization: Bearer <token>
另一種做法是，跨域的時候，JWT 就放在 POST 請求的數(shù)據(jù)體里面。
4、JWT 的幾個特點
- （1）JWT 默認(rèn)是不加密，但也是可以加密的。生成原始 Token 以后，可以用密鑰再加密一次。
- （2）JWT 不加密的情況下，不能將秘密數(shù)據(jù)寫入 JWT。
- （3）JWT 不僅可以用于認(rèn)證，也可以用于交換信息。有效使用 JWT，可以降低服務(wù)器查詢數(shù)據(jù)庫的次數(shù)。
- （4）JWT 的最大缺點是，由于服務(wù)器不保存 session 狀態(tài)，因此無法在使用過程中廢止某個 token，或者更改 token 的權(quán)限。也就是說，一旦 JWT 簽發(fā)了，在到期之前就會始終有效，除非服務(wù)器部署額外的邏輯。
- （5）JWT 本身包含了認(rèn)證信息，一旦泄露，任何人都可以獲得該令牌的所有權(quán)限。為了減少盜用，JWT 的有效期應(yīng)該設(shè)置得比較短。對于一些比較重要的權(quán)限，使用時應(yīng)該再次對用戶進(jìn)行認(rèn)證。
- （6）為了減少盜用，JWT 不應(yīng)該使用 HTTP 協(xié)議明碼傳輸，要使用 HTTPS 協(xié)議傳輸。
5、功能實現(xiàn)
JWT功能組件
使用composer安裝 JWT 功能組件
composer require lcobucci/jwt 3.3
封裝JWT工具類 (參考 https://github.com/lcobucci/jwt/tree/3.3)
extend/tools/jwt/Token.php
<?php
namespace tools\jwt;
use Lcobucci\JWT\Builder;
use Lcobucci\JWT\Parser;
use Lcobucci\JWT\Signer\Hmac\Sha256;
use Lcobucci\JWT\ValidationData;
/**
* Created by PhpStorm.
* User: asus
* Date: 2019/4/5
* Time: 13:02
*/
class Token
{
private static $_config = [
'audience' => 'http://www.pyg.com',//接收人
'id' => '3f2g57a92aa',//token的唯一標(biāo)識，這里只是一個簡單示例
'sign' => 'pinyougou',//簽名密鑰
'issuer' => 'http://adminapi.pyg.com',//簽發(fā)人
'expire' => 3600*24 //有效期
];
//生成token
public static function getToken($user_id){
//簽名對象
$signer = new Sha256();
//獲取當(dāng)前時間戳
$time = time();
//設(shè)置簽發(fā)人、接收人、唯一標(biāo)識、簽發(fā)時間、立即生效、過期時間、用戶id、簽名
$token = (new Builder())->issuedBy(self::$_config['issuer'])
->canOnlyBeUsedBy(self::$_config['audience'])
->identifiedBy(self::$_config['id'], true)
->issuedAt($time)
->canOnlyBeUsedAfter($time-1)
->expiresAt($time + self::$_config['expire'])
->with('user_id', $user_id)
->sign($signer, self::$_config['sign'])
->getToken();
return (string)$token;
}
//從請求信息中獲取token令牌
public static function getRequestToken()
{
if (empty($_SERVER['HTTP_AUTHORIZATION'])) {
return false;
}
$header = $_SERVER['HTTP_AUTHORIZATION'];
$method = 'bearer';
//去除token中可能存在的bearer標(biāo)識
return trim(str_ireplace($method, '', $header));
}
//從token中獲取用戶id （包含token的校驗）
public static function getUserId($token = null)
{
$user_id = null;
$token = empty($token)?self::getRequestToken():$token;
if (!empty($token)) {
//為了注銷token 加以下if判斷代碼
$delete_token = cache('delete_token') ?: [];
if(in_array($token, $delete_token)){
//token已被刪除（注銷）
return $user_id;
}
$token = (new Parser())->parse((string) $token);
//驗證token
$data = new ValidationData();
$data->setIssuer(self::$_config['issuer']);//驗證的簽發(fā)人
$data->setAudience(self::$_config['audience']);//驗證的接收人
$data->setId(self::$_config['id']);//驗證token標(biāo)識
if (!$token->validate($data)) {
//token驗證失敗
return $user_id;
}
//驗證簽名
$signer = new Sha256();
if (!$token->verify($signer, self::$_config['sign'])) {
//簽名驗證失敗
return $user_id;
}
//從token中獲取用戶id
$user_id = $token->getClaim('user_id');
}
return $user_id;
}
}
修改public/.htaccess文件，通過apache重寫，處理HTTP請求中的Authorization字段
（不處理，php中接收不到HTTP_AUTHORAZATION字段信息）
RewriteCond %{HTTP:Authorization} ^(.+)$
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
測試： application/adminapi/controller/Index.php中index方法
靜態(tài)調(diào)用封裝的\tools\jwt\Token類的getToken方法，傳遞一個用戶id值，生成token
靜態(tài)調(diào)用封裝的\tools\jwt\Token類的getUserId方法，傳遞一個token，獲取用戶id值
訪問結(jié)果
到此這篇關(guān)于PHP實現(xiàn)JWT的Token登錄認(rèn)證的文章就介紹到這了。希望對大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。
相關(guān)文章
PHP預(yù)定義超全局?jǐn)?shù)組變量小結(jié)
這篇文章主要介紹了PHP預(yù)定義超全局?jǐn)?shù)組變量,結(jié)合實例形式總結(jié)分析了預(yù)定義超全局?jǐn)?shù)組變量的特性、功能、使用方法及相關(guān)操作注意事項,需要的朋友可以參考下2018-08-08
這篇文章主要介紹了php的dl函數(shù)用法,以實例形式講述了利用dl函數(shù)突破PHP設(shè)置上的限制,是非常實用的技巧,需要的朋友可以參考下2014-11-11
這篇文章主要介紹了PHP獲取星期幾的常用方法,結(jié)合實例形式分析了php使用date函數(shù)獲取指定日期星期幾的具體操作技巧與相關(guān)注意事項,需要的朋友可以參考下2018-12-12
php中cURL?error?60：SSL?certificate?problem:?unable?to?
PHP中cURL錯誤60通常表示SSL證書問題,即無法獲取本地頒發(fā)機構(gòu)證書,這通常是由于cURL無法驗證遠(yuǎn)程服務(wù)器的SSL證書導(dǎo)致的,本給大家介紹了如何解決php中cURL?error?60,需要的朋友可以參考下2023-12-12
在過去很長一段時間里，PHP都是開發(fā)web應(yīng)用的不二之選?，F(xiàn)在7.x版本又填補了許多高級特性和現(xiàn)代化應(yīng)用的需求，并且提高了開發(fā)者的效率。這門語言正不斷的發(fā)生改變，找出這些變化，并停止過去的寫法，放棄你原來的習(xí)慣并自豪的使用這些新特性，讓你的代碼更易讀易懂。2021-05-05
php版交通銀行網(wǎng)銀支付接口開發(fā)入門教程
這篇文章主要介紹了php版交通銀行網(wǎng)銀支付接口開發(fā)方法,結(jié)合簡單實例形式分析了php操作交通銀行網(wǎng)銀接口的的開發(fā)步驟與相關(guān)操作技巧,需要的朋友可以參考下2016-09-09
最近在寫php時，莫名其妙的瀏覽器頭多出一行空行，在網(wǎng)上搜索一下，大致都是把文件保存為非BOM的UTF-8格式2011-03-03
在PHP中截取UTF-8編碼的字符串時，有可能碰到半字符的問題，也就是亂碼,以下函數(shù)可以解決這個問題2010-03-03
這篇文章主要為大家詳細(xì)介紹了php英文單詞統(tǒng)計器的實現(xiàn)代碼，2016-06-06
本文是ThinkPHP的系列教程的第一篇，本系列一共七篇，我們將從簡到難，由淺入深，給大家詳細(xì)介紹這款優(yōu)秀的國產(chǎn)開源php框架，有需要的小伙伴可以關(guān)注下。2015-07-07