jwt验证 thinkphp8

JWT是json web token缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。基于token的身份验证可以替代传统的cookie+session身份验证方法。

它定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。JWT 可以使用 HMAC 算法或者是 RSA 的公钥密钥对进行签名。它具备两个特点：

简洁(Compact)：可以通过URL, POST 参数或者在 HTTP header 发送，因为数据量小，传输速度快

首先，我们需要安装JWT的PHP库，可以使用composer进行安装：

composer require firebase/php-jwt

然后，我们可以在ThinkPHP8中创建一个JWT的工具类：

<?php
 
namespace app\common\lib;
 
use Firebase\JWT\JWT;
 
class Auth
{
    public static function createToken($userid)
    {
        $key = md5('my_secret_key');
        $token = [
            "iss" => 'issuer',  // 签发者
            "iat" => time(),    // 签发时间
            "nbf": time(),//该时间之前不接收处理该Token
            "exp" => time() + 7200, // 过期时间
            "aud" => 'audience', // 接收者
            "sub" => 'subject',  // 主题
            "data" => [         // 自定义信息
                'userid' => $userid
            ]
        ];
 
        $jwt = JWT::encode($token, $key);
        return $jwt;
    }
 
    public static function checkToken($token)
    {
        $key = md5('my_secret_key');
        try {
            $decoded = JWT::decode($token, $key, ['HS256']);
            return (array) $decoded->data;
        } catch (\Firebase\JWT\SignatureInvalidException $e) {
            // 签名无效
            throw new \Exception('SignatureInvalidException');
        } catch (\Firebase\JWT\ExpiredException $e) {
            // token过期
            throw new \Exception('ExpiredException');
        } catch (\Firebase\JWT\BeforeValidException $e) {
            // token在当前服务器时间之前
            throw new \Exception('BeforeValidException');
        } catch (\Exception $e) {
            // 其他错误
            throw new \Exception($e->getMessage());
        }
    }
}

在登录接口中，我们可以创建一个JWT token，并将其返回给客户端：

public function login()
{
    // 假设用户验证通过后获取用户ID
    $userid = 1;
    $token = Auth::createToken($userid);
    return json(['token' => $token]);
}

 

在其他需要验证的接口中，我们可以使用JWT token来验证用户身份：

public function index()
{
    $token = Request::header('Authorization');
    if (empty($token)) {
        return json(['error' => 'Token is missing'], 401);
    }
 
    try {
        $userid = Auth::checkToken($token)['userid'];
        // 使用$userid进行其他操作
    } catch (\Exception $e) {
        return json(['error' => $e->getMessage()], 401);
    }
 
    return json(['message' => 'Success']);
}

在上述代码中，我们首先创建了一个token，然后在需要验证的接口中，从HTTP头信息中取出token，并使用我们的密钥对其进行解析。如果解析成功，我们就可以从中获取用户的ID，然后进行后续的操作。如果解析失败，我们将返回错误信息。