API接口JWT方式的Token认证（上），服务器(Laravel)的实现

简介

最近在开发一个 Android 程序，需要做用户登录和认证功能，另外服务器用的是 Laravel 框架搭建的。最终决定用 JWT 实现API接口的认证。

JWT 是 Json Web Tokens 的缩写，与传统 Web 的 Cookies 或者 Session 方式的认证不同的是，JWT 是无状态的，服务器上不需要对 token 进行存储，也不需要和客户端保持连接。而 JWT 的 token 分3个部分，首先是头部 ，表明这是一个JWT，并指明加密方式，第二部分是负载，其中可以包含 账户名、ID、邮箱等用户信息，同时也包含了token到期时间，以 Unix 时间戳的方式记录，头部和负载都会进行 base64 编码，最后一部分是签名，用来验证负载的信息是否正确。

服务器上会保存一个全局 JWT_SECRET ，用于生成 token 和验证 token。在用户登录成功后，服务器从数据库获取用户的相关信息，计算出 token 到期时间，生成头部和负载并编码，再将前面的内容使用 JWT_SECRET 进行加密，生成签名，最后将3个部分合并返回给客户端。

客户端访问需要认证的客户端时，在 Http 请求头部加上 Authrization 字段，内容为 Bearer 加 token。服务器收到请求后，利用 JWT_SECRET 验证 token 是否合法，从负载中提取到期时间确认 token 是否过期，再从 token 提取用户信息，与数据库进行对比。如果这些都通过的话就可以进行后续操作了。

这里指大概介绍一下 JWT 的特点和验证流程，更详细的介绍大家可以自行搜索，或者访问 https://jwt.io/introduction/ 。

先上代码：
https://github.com/zhongchenyu/jokes-laravel
因为后续代码可能会做重构，本文所介绍的代码保存在 demo2 分支，请 checkout demo2 。

服务器代码实现

我们从一个空的 Laravel 项目开始着手，这里假设通过 laravel new project_name 命令安装了一个空的项目，并且完成了初始化配置，已经可以访问一些简单的测试 API了。下面开始搞 JWT。

1. 安装 JWT 库

首先通过 composer 安装 PHP 的 JWT 库：
composer require tymon/jwt-auth 0.5.*

在 config/app.php 下添加 JWTAuthServiceProvider：

'providers' => [

        /*
         * Laravel Framework Service Providers...
         */              
        ...
        Tymon\JWTAuth\Providers\JWTAuthServiceProvider::class
    ],

也是在 config/app.php 下，注册门面：

'aliases' => [
        ...
        'JWTAuth' => Tymon\JWTAuth\Facades\JWTAuth::class,
        'JWTFactory' => Tymon\JWTAuth\Facades\JWTFactory::class,
    ],

发布 JWT 的配置文件到 config/jwt.php :

php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\JWTAuthServiceProvider"

生成 JWT_SECRET，执行命令php artisan jwt:generate ,
会在 config/jwt.php 下生成'secret' => env('JWT_SECRET', 'UCDncib***wOY6gj0sD'), ，从 .env 的 JWT_SECRET 取值，如果没有再取后面的默认值，因为 config/jwt.php 是要随着 Git 版本发布的，所有最好在不同的环境上分别执行命令来生成 secret ，并且保持到 .env 文件中， .env 文件默认是 gitignore 的。

这样 JWT 库就安装好可以使用了。

2. 初始化数据库

首先创建好数据库，并修改 .env 文件中相关的值：

DB_CONNECTION=mysql
DB_HOST=127.0.0.1
DB_PORT=3306
DB_DATABASE=jokes
DB_USERNAME=homestead
DB_PASSWORD=secret

这是数据库还是空的，没有任