使用JWT在PHP API接口中进行身份验证的方法-编程学习网

在 Web 开发中，最常见的需求之一就是用户身份验证。为了实现安全的身份验证，Web 开发者可以依赖于许多不同的机制。其中一种很受欢迎的方法是 JSON Web Tokens（JWT），它提供了一种基于令牌的身份验证方法。

在本文中，我们将介绍 JWT 的基本概念，然后演示如何在 PHP 中使用 JWT 进行身份验证。我们将使用一个简单的示例 API 来说明。

什么是 JWT?

JWT 是一个开放标准（RFC 7519），它定义了一种基于 JSON 格式的令牌协议，用于在服务端和客户端之间传输信息。JWT 由三个部分组成：头部、负载和签名。

头部包含了令牌的元数据，例如令牌类型和签名算法。负载包含了要传输的数据。JWT 的传输是通过 Base64 编码的。签名部分则是对头部和负载的哈希值进行签名。

如何使用 JWT 进行身份验证？

在实际应用中，我们通常会在用户登录成功后生成一个 JWT，然后将其发送回客户端。客户端每次访问受保护的 API 时，都需要将 JWT 作为身份验证信息发送到服务端。服务端可以对 JWT 的有效性进行验证，并基于其验证用户身份。

下面我们来演示如何在 PHP 中使用 JWT 进行身份验证。本示例中，我们将创建一个简单的 API 来验证 JWT。API 将接受 GET 请求，并将 JWT 作为查询参数传递。

首先，我们需要安装 php-jwt 库。我们可以使用 Composer 来完成引入：

composer require firebase/php-jwt

然后，我们需要编写一个函数，将负载数据转换为 JWT 并签名它：

function generateToken($payload) {
    $key = "secret_key";
    $token = array(
        "iss" => "http://example.org",
        "aud" => "http://example.com",
        "iat" => time(),
        "exp" => time() + (60*60),
        "data" => $payload
    );

    return JWT::encode($token, $key);
}

在这个函数中，我们设置了一些基本的元数据，例如 "iss"（颁发者）、"aud"（接收者）、"iat"（签发时间）和 "exp"（过期时间）。我们还将用户数据添加到 JWT 的数据部分中。最后，我们使用 PHP-JWT 库的 encode 方法对 JWT 进行签名，并使用 "secret_key" 作为签名密钥。

接下来，我们需要编写一个验证函数，以检查传入的 JWT 是否有效：

function validateToken($jwt) {
    $key = "secret_key";
    try {
        $data = JWT::decode($jwt, $key, array('HS256'));
        return true;
    } catch (Exception $e) {
        return false;
    }
}

在这个函数中，我们使用 PHP-JWT 库的 decode 方法解码 JWT，并使用相同的密钥进行验证。如果 JWT 验证通过，则返回 true，否则返回 false。

最后，我们需要编写一个入口脚本来接收 GET 请求，并验证 JWT：

require_once 'vendor/autoload.php';

use FirebaseJWTJWT;

$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
    $data = JWT::decode($jwt, "secret_key", array('HS256'));
    echo "Welcome " . $data->data->username . "!";
} else {
    echo "Invalid token!";
}

在这个脚本中，我们首先从 GET 请求参数中获取 JWT，然后调用 validateToken 函数以检验 JWT 是否有效。如果 JWT 有效，我们可以解码它，并从中提取出我们存储的用户信息，然后欢迎用户。否则，我们将输出 "Invalid token!"。

完整代码如下：

require_once 'vendor/autoload.php';

use FirebaseJWTJWT;

function generateToken($payload) {
    $key = "secret_key";
    $token = array(
        "iss" => "http://example.org",
        "aud" => "http://example.com",
        "iat" => time(),
        "exp" => time() + (60*60),
        "data" => $payload
    );

    return JWT::encode($token, $key);
}

function validateToken($jwt) {
    $key = "secret_key";
    try {
        $data = JWT::decode($jwt, $key, array('HS256'));
        return true;
    } catch (Exception $e) {
        return false;
    }
}

$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
    $data = JWT::decode($jwt, "secret_key", array('HS256'));
    echo "Welcome " . $data->data->username . "!";
} else {
    echo "Invalid token!";
}