JWT初步理解并应用（Laravel 框架举例）

什么是JWT

JSON WEB Token,是一种基于JSON的、用于在网络上声明某种主张的令牌（token）。JWT通常由三部分组成: 头信息（header）, 消息体（payload）和签名（signature）。

1.Header 头信息通常包含两部分，type：代表token的类型，这里使用的是JWT类型。 alg:使用的Hash算法，例如HMAC SHA256或RSA.

{
"alg": "HS256",
"typ": "JWT"
}

2.Payload 一个token的第二个部分是荷载信息，它包含一些声明Claim(实体的描述，通常是一个User信息，还包括一些其他的元数据)
　　声明分三类:
　　1.Reserved Claims,这是一套预定义的声明，并不是必须的,这是一套易于使用、操作性强的声明。包括：iss(issuer)、exp(expiration time)、sub(subject)、aud(audience)等
　　2.Plubic Claims,
　　3.Private Claims,交换信息的双方自定义的声明

{
"sub": "1234567890",
"name": "XJJ",
"user_id": 1
}

3.signature 使用header中指定的算法将编码后的header、编码后的payload、一个secret进行加密

例如使用的是HMAC SHA256算法，大致流程类似于: HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

这个signature字段被用来确认JWT信息的发送者是谁，并保证信息没有被修改

如何使用JWT

在身份鉴定的实现中，传统方法是在服务端存储一个session，给客户端返回一个cookie，而使用JWT之后，当用户使用它的认证信息登陆系统之后，会返回给用户一个JWT，用户只需要本地保存该token（通常使用local storage，也可以使用cookie）即可。

当用户希望访问一个受保护的路由或者资源的时候，通常应该在Authorization头部使用Bearer模式添加JWT，其内容看起来是下面这样：Authorization: Bearer <token>

因为用户的状态在服务端的内存中是不存储的，所以这是一种无状态的认证机制。服务端的保护路由将会检查请求头Authorization中的JWT信息，如果合法，则允许用户的行为。由于JWT是自包含的，因此减少了需要查询数据库的需要。

JWT的这些特性使得我们可以完全依赖其无状态的特性提供数据API服务，甚至是创建一个下载流服务。因为JWT并不使用Cookie的，所以你可以使用任何域名提供你的API服务而不需要担心跨域资源共享问题（CORS）。

JWT类库

namespace App\Utility;

class JwtBase {
//头部
private static $header=array(
    'alg'=>'HS256', //生成signature的算法
    'typ'=>'JWT'  //类型
);
//使用HMAC生成信息摘要时所使用的密钥
private static $key='KEY';

/**
 * 获取jwt token
 * @param array $payload jwt载荷  格式如下非必须
 * [
 * 'iss'=>'jwt_admin', //该JWT的签发者
 * 'iat'=>time(), //签发时间
 * 'exp'=>time()+7200, //过期时间
 * 'nbf'=>time()+60, //该时间之前不接收处理该Token
 * 'sub'=>'www.admin.com', //面向的用户
 * 'jti'=>md5(uniqid('JWT').time()) //该Token唯一标识
 * ]
 * @return bool|string
 */
public static function getToken(array $payload)
{
    $arr = [
        'iss'=>'yamecent', //该JWT的签发者
        'iat'=>time(), //签发时间
        'exp'=>time()+3600*24*15, //过期时间
        'nbf'=>time(), //该时间之前不接收处理该Token
        'sub'=>'', //面向的用户
        'jti'=>md5(uniqid('JWT').time()) //该Token唯一标识
    ];
    $payload = array_merge($arr,$payload);
    if(is_array($payload))
    {
        $base64header=self::base64UrlEncode(json_encode(self::$header,JSON_UNESCAPED_UNICODE));
        $base64payload=self::base64UrlEncode(json_encode($payload,JSON_UNESCAPED_UNICODE));
        $token=$base64header.'.'.$base64payload.'.'.self::signature($base64header.'.'.$base64payload,self::$key,self::$header['alg']);
        return $token;
    }else{
        return false;
    }
}


/**
 * 验证token是否有效,默认验证exp,nbf,iat时间
 * @param string $Token 需要验证的token
 * @return bool|string
 */
public static function verifyToken(string $Token)
{
    $tokens = explode('.', $Token);
    if (count($tokens) != 3)
        return false;

    list($base64header, $base64payload, $sign) = $tokens;

    //获取jwt算法
    $base64decodeheader = json_decode(self::base64UrlDecode($base64header), JSON_OBJECT_AS_ARRAY);
    if (empty($base64decodeheader['alg']))
        return false;

    //签名验证
    if (self::signature($base64header . '.' . $base64payload, self::$key, $base64decodeheader['alg']) !== $sign)
        return false;

    $payload = json_decode(self::base64UrlDecode($base64payload), JSON_OBJECT_AS_ARRAY);

    //签发时间大于当前服务器时间验证失败
    if (isset($payload['iat']) && $payload['iat'] > time())
        return false;

    //过期时间小宇当前服务器时间验证失败
    if (isset($payload['exp']) && $payload['exp'] < time())
        return false;

    //该nbf时间之前不接收处理该Token
    if (isset($payload['nbf']) && $payload['nbf'] > time())
        return false;

    return $payload;
}




/**
 * base64UrlEncode  https://jwt.io/ 中base64UrlEncode编码实现
 * @param string $input 需要编码的字符串
 * @return string
 */
private static function base64UrlEncode(string $input)
{
    return str_replace('=', '', strtr(base64_encode($input), '+/', '-_'));
}

/**
 * base64UrlEncode https://jwt.io/ 中base64UrlEncode解码实现
 * @param string $input 需要解码的字符串
 * @return bool|string
 */
private static function base64UrlDecode(string $input)
{
    $remainder = strlen($input) % 4;
    if ($remainder) {
        $addlen = 4 - $remainder;
        $input .= str_repeat('=', $addlen);
    }
    return base64_decode(strtr($input, '-_', '+/'));
}

/**
 * HMACSHA256签名  https://jwt.io/ 中HMACSHA256签名实现
 * @param string $input 为base64UrlEncode(header).".".base64UrlEncode(payload)
 * @param string $key
 * @param string $alg  算法方式
 * @return mixed
 */
private static function signature(string $input, string $key, string $alg = 'HS256')
{
    $alg_config=array(
        'HS256'=>'sha256'
    );
    return self::base64UrlEncode(hash_hmac($alg_config[$alg], $input, $key,true));
}
}

使用

$token = JwtBase::getToken(['user_id'=>$user->id]);//生成token


$header = $request->header('Authorization');//验证
    $token = explode(' ',$header);
    if(!$header || !$token){
        return $this->json(419,'登录信息已过期，重新登录');
    }
    $data = JwtBase::verifyToken($token[1]);
    if(!$data){
        return $this->json(419,'登录信息已过期，重新登录');
    }