[PHP] PHP实现JWT的Token登录认证

{
"用户名": "admin",
"角色": "超级管理员",
"到期时间": "2019-07-13 00:00:00"
}

Authorization: Bearer <token>

• （1）JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
  
• （2）JWT 不加密的情况下，不能将秘密数据写入 JWT。
  
• （3）JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
  
• （4）JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
  
• （5）JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
  
• （6）为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。
  

composer require lcobucci/jwt 3.3

extend/tools/jwt/Token.php

<?php
namespace tools\jwt;
 
use Lcobucci\JWT\Builder;
use Lcobucci\JWT\Parser;
use Lcobucci\JWT\Signer\Hmac\Sha256;
use Lcobucci\JWT\ValidationData;
 
/**
 * Created by PhpStorm.
 * User: asus
 * Date: 2019/4/5
 * Time: 13:02
 */
class Token
{
  private static $_config = [
    'audience' => 'http://www.pyg.com',//接收人
    'id' => '3f2g57a92aa',//token的唯一标识，这里只是一个简单示例
    'sign' => 'pinyougou',//签名密钥
    'issuer' => 'http://adminapi.pyg.com',//签发人
    'expire' => 3600*24 //有效期
  ];
 
  //生成token
  public static function getToken($user_id){
 
    //签名对象
    $signer = new Sha256();
    //获取当前时间戳
    $time = time();
    //设置签发人、接收人、唯一标识、签发时间、立即生效、过期时间、用户id、签名
    $token = (new Builder())->issuedBy(self::$_config['issuer'])
      ->canOnlyBeUsedBy(self::$_config['audience'])
      ->identifiedBy(self::$_config['id'], true)
      ->issuedAt($time)
      ->canOnlyBeUsedAfter($time-1)
      ->expiresAt($time + self::$_config['expire'])
      ->with('user_id', $user_id)
      ->sign($signer, self::$_config['sign'])
      ->getToken();
    return (string)$token;
  }
 
  //从请求信息中获取token令牌
  public static function getRequestToken()
  {
    if (empty($_SERVER['HTTP_AUTHORIZATION'])) {
      return false;
    }
 
    $header = $_SERVER['HTTP_AUTHORIZATION'];
    $method = 'bearer';
    //去除token中可能存在的bearer标识
    return trim(str_ireplace($method, '', $header));
  }
 
  //从token中获取用户id （包含token的校验）
  public static function getUserId($token = null)
  {
    $user_id = null;
 
    $token = empty($token)?self::getRequestToken():$token;
 
    if (!empty($token)) {
      //为了注销token 加以下if判断代码
      $delete_token = cache('delete_token') ?: [];
      if(in_array($token, $delete_token)){
        //token已被删除（注销）
        return $user_id;
      }
      $token = (new Parser())->parse((string) $token);
      //验证token
      $data = new ValidationData();
      $data->setIssuer(self::$_config['issuer']);//验证的签发人
      $data->setAudience(self::$_config['audience']);//验证的接收人
      $data->setId(self::$_config['id']);//验证token标识
 
      if (!$token->validate($data)) {
        //token验证失败
        return $user_id;
      }
 
      //验证签名
      $signer = new Sha256();
      if (!$token->verify($signer, self::$_config['sign'])) {
        //签名验证失败
        return $user_id;
      }
      //从token中获取用户id
      $user_id = $token->getClaim('user_id');
    }
 
    return $user_id;
  }
}

RewriteCond %{HTTP:Authorization} ^(.+)$
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]