在 Web 開發中，最常見的需求之一就是用戶身份驗證。為了實現安全的身份驗證，Web 開發者可以依賴于許多不同的機制。其中一種很受歡迎的方法是 JSON Web Tokens（JWT），它提供了一種基于令牌的身份驗證方法。
在本文中，我們將介紹 JWT 的基本概念，然后演示如何在 PHP 中使用 JWT 進行身份驗證。我們將使用一個簡單的示例 API 來說明。
- 什么是 JWT?
JWT 是一個開放標準（RFC 7519），它定義了一種基于 JSON 格式的令牌協議，用于在服務端和客戶端之間傳輸信息。JWT 由三個部分組成：頭部、負載和簽名。
頭部包含了令牌的元數據，例如令牌類型和簽名算法。負載包含了要傳輸的數據。JWT 的傳輸是通過 Base64 編碼的。簽名部分則是對頭部和負載的哈希值進行簽名。
- 如何使用 JWT 進行身份驗證？
在實際應用中，我們通常會在用戶登錄成功后生成一個 JWT，然后將其發送回客戶端。客戶端每次訪問受保護的 API 時，都需要將 JWT 作為身份驗證信息發送到服務端。服務端可以對 JWT 的有效性進行驗證，并基于其驗證用戶身份。
下面我們來演示如何在 PHP 中使用 JWT 進行身份驗證。本示例中，我們將創建一個簡單的 API 來驗證 JWT。API 將接受 GET 請求，并將 JWT 作為查詢參數傳遞。
首先，我們需要安裝 php-jwt 庫。我們可以使用 Composer 來完成引入：
composer require firebase/php-jwt
登錄后復制
然后，我們需要編寫一個函數，將負載數據轉換為 JWT 并簽名它：
function generateToken($payload) {
$key = "secret_key";
$token = array(
"iss" => "http://example.org",
"aud" => "http://example.com",
"iat" => time(),
"exp" => time() + (60*60),
"data" => $payload
);
return JWT::encode($token, $key);
}
登錄后復制
在這個函數中，我們設置了一些基本的元數據，例如 “iss”（頒發者）、”aud”（接收者）、”iat”（簽發時間）和 “exp”（過期時間）。我們還將用戶數據添加到 JWT 的數據部分中。最后，我們使用 PHP-JWT 庫的 encode 方法對 JWT 進行簽名，并使用 “secret_key” 作為簽名密鑰。
接下來，我們需要編寫一個驗證函數，以檢查傳入的 JWT 是否有效：
function validateToken($jwt) {
$key = "secret_key";
try {
$data = JWT::decode($jwt, $key, array('HS256'));
return true;
} catch (Exception $e) {
return false;
}
}
登錄后復制
在這個函數中，我們使用 PHP-JWT 庫的 decode 方法解碼 JWT，并使用相同的密鑰進行驗證。如果 JWT 驗證通過，則返回 true，否則返回 false。
最后，我們需要編寫一個入口腳本來接收 GET 請求，并驗證 JWT：
require_once 'vendor/autoload.php';
use FirebaseJWTJWT;
$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
$data = JWT::decode($jwt, "secret_key", array('HS256'));
echo "Welcome " . $data->data->username . "!";
} else {
echo "Invalid token!";
}
登錄后復制
在這個腳本中，我們首先從 GET 請求參數中獲取 JWT，然后調用 validateToken 函數以檢驗 JWT 是否有效。如果 JWT 有效，我們可以解碼它，并從中提取出我們存儲的用戶信息，然后歡迎用戶。否則，我們將輸出 “Invalid token!”。
完整代碼如下：
require_once 'vendor/autoload.php';
use FirebaseJWTJWT;
function generateToken($payload) {
$key = "secret_key";
$token = array(
"iss" => "http://example.org",
"aud" => "http://example.com",
"iat" => time(),
"exp" => time() + (60*60),
"data" => $payload
);
return JWT::encode($token, $key);
}
function validateToken($jwt) {
$key = "secret_key";
try {
$data = JWT::decode($jwt, $key, array('HS256'));
return true;
} catch (Exception $e) {
return false;
}
}
$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
$data = JWT::decode($jwt, "secret_key", array('HS256'));
echo "Welcome " . $data->data->username . "!";
} else {
echo "Invalid token!";
}
登錄后復制
- 總結
本文介紹了如何在 PHP 中使用 JWT 進行身份驗證。我們基于一個簡單的 API 對 JWT 進行了演示，詳細介紹了如何生成和驗證 JWT。
使用 JWT 進行身份驗證的關鍵點在于正確設置 JWT 的元數據和使用正確的簽名算法。此外，應該始終使用安全的密鑰來對 JWT 進行簽名。
因此，在開發應用程序時，您應該仔細考慮如何使用 JWT，以確保您的應用程序是安全的。
