Laravel JWT实现Token认证

为什么使用JWT？

随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。

什么时候你应该用JSON Web Tokens

下列场景中使用JSON Web Token是很有用的：

1、Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
2、Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

JSON Web Token的结构是什么样的

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

1. Header
2. Payload
3. Signature

因此，一个典型的JWT看起来是这个样子的：

xxxxx.yyyyy.zzzzz

接下来，具体看一下每一部分：

Header

header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。

例如：

然后，用Base64对这个JSON编码就得到JWT的第一部分

Payload

JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered,public 和 private。

Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp
(expiration time), sub (subject), aud (audience)等。

Public claims : 可以随意定义。

Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。 下面是一个例子：

对payload进行Base64编码就得到JWT的第二部分

注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

Signature

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

例如：

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

看一张官网的图就明白了：

JSON Web Tokens是如何工作的

1、应用（或者客户端）想授权服务器请求授权。例如，如果用授权码流程的话，就是/oauth/authorize
2、当授权被许可以后，授权服务器返回一个access token给应用
3、应用使用access token访问受保护的资源（比如：API）

简单示例：JWT—Token的认证

composer require firebase/php-jwt

JWT 加密

    //  JWT 加密
    public function setJwt()
    {
        //  自定义随机字符串
        $key = "hao";
        $payload = array(
            //  签发者
            "iss" => "",
            //  面向用户，可以为空
            "aud" => "",
            // 签发的时间
            "iat" => time(),
            // 在什么时候JWT生效？
            "nbf" => time() + 10,
            //  token 过期时间
            'exp' => time() + 7200,
            //  用户ID
            'uid' => 1
        );
        //  根据参数生成token
        $jwt = JWT::encode($payload, $key, "HS256");
//        $decoded = JwtToken::decode($jwt, $key, array('HS256'));
        return ['token' => $jwt];
    }

JWT 解密

//  解密Token
    public function getJwt()
    {
        $jwt = 'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiIiLCJhdWQiOiIiLCJpYXQiOjE2MjI4NTYxMzksIm5iZiI6MTYyMjg1NjE0OSwiZXhwIjoxNjIyODYzMzM5LCJ1aWQiOjF9.37OWoIDughJvbYlOpALwltgMaMZbbViP5dKusOytUW4';  //上一步中返回给用户的token
        $key = "hao";  //上一个方法中的 $key 本应该配置在 config文件中的
        $info = JWT::decode($jwt, $key, ["HS256"]); //解密jwt
        return ['token'=>$info];
    }