PHP实现JWT(JSON Web Token)鉴权实例详解

什么是JWT？

JWT是一种用于身份验证和授权的开放标准（RFC 7519），它定义了一种紧凑且自包含的方式来在各方之间安全地传输信息。JWT通常由三部分组成：头部、载荷和签名。头部包含了令牌的元数据，载荷包含了令牌的主要信息，签名用于验证令牌的真实性。

JWT的优点

• 简单：JWT是一种轻量级的标准，易于实现和使用。
• 自包含：JWT包含了所有必要的信息，不需要在服务器端存储会话信息。
• 可扩展：JWT可以包含任意数量的自定义声明，可以用于实现各种场景下的身份验证和授权。
• 安全：JWT使用签名来验证令牌的真实性，可以防止令牌被篡改或伪造。

PHP实现JWT鉴权

下面我们将介绍如何使用PHP实现JWT鉴权。

步骤一：安装依赖

我们将使用Firebase的JWT库来生成和验证JWT令牌。您可以使用Composer来安装该库：

composer require firebase/php-jwt

步骤二：生成JWT令牌

下面是一个示例代码，用于生成JWT令牌：

<?php

use Firebase\JWT\JWT;

// 设置JWT的密钥
$key = 'my_secret_key';

// 设置JWT的有效期
$exp = time() + (60 * 60);

// 设置JWT的载荷
$payload = array(
    "user_id" => 123,
    "username" => "john.doe"
);

// 生成JWT令牌
$jwt = JWT::encode($payload, $key, 'HS256');

// 输出JWT令牌
echo $jwt;

在上面的代码中，我们首先设置了JWT的密钥和有效期。然后，我们定义了一个名为$payload的数组，用于存储JWT的主要信息。最后，我们使用JWT::encode方法来生成JWT令牌，并将其输出到屏幕上。

步骤三：验证JWT令牌

下面是一个示例代码，用于验证JWT令牌：

<?php

use Firebase\JWT\JWT;

// 设置JWT的密钥
$key = 'my_secret_key';

// 获取JWT令牌
$jwt = $_SERVER['HTTP_AUTHORIZATION'];

// 解码JWT令牌
$decoded = JWT::decode($jwt, $key, array('HS256'));

// 输出JWT令牌的载荷
print_r($decoded);

在上面的代码中，我们首先设置了JWT的密钥。然后，我们从HTTP头中获取JWT令牌，并使用JWT::decode方法来解码JWT令牌。如果JWT令牌是有效的，$decoded变量将包含JWT令牌的载荷信息。最后，我们使用print_r函数将JWT令牌的载荷输出到屏幕上。

示例一：使用JWT鉴权保护API

下面是一个示例代码，用于使用JWT鉴权保护API：

<?php

use Firebase\JWT\JWT;

// 设置JWT的密钥
$key = 'my_secret_key';

// 获取JWT令牌
$jwt = $_SERVER['HTTP_AUTHORIZATION'];

try {
    // 解码JWT令牌
    $decoded = JWT::decode($jwt, $key, array('HS256'));

    // 验证JWT令牌的有效期
    if ($decoded->exp < time()) {
        throw new Exception('JWT令牌已过期');
    }

    // 验证JWT令牌的签名
    if ($decoded->iss !== 'my_issuer') {
        throw new Exception('JWT令牌的签名无效');
    }

    // 验证JWT令牌的主题
    if ($decoded->sub !== 'my_subject') {
        throw new Exception('JWT令牌的主题无效');
    }

    // 验证JWT令牌的受众
    if ($decoded->aud !== 'my_audience') {
        throw new Exception('JWT令牌的受众无效');
    }

    // 验证JWT令牌的其他声明
    // ...

    // API逻辑
    echo 'Hello, ' . $decoded->username . '!';
} catch (Exception $e) {
    // 处理异常
    echo $e->getMessage();
}

在上面的代码中，我们首先从HTTP头中获取JWT令牌，并使用JWT::decode方法来解码JWT令牌。然后，我们验证JWT令牌的有效期、签名、主题、受众和其他声明。如果JWT令牌是有效的，我们将执行API逻辑。如果JWT令牌无效，我们将抛出一个异常并输出错误消息。

示例二：使用JWT鉴权保护Web应用程序

下面是一个示例代码，用于使用JWT鉴权保护Web应用程序：

<?php

use Firebase\JWT\JWT;

// 设置JWT的密钥
$key = 'my_secret_key';

// 获取JWT令牌
$jwt = $_COOKIE['jwt'];

try {
    // 解码JWT令牌
    $decoded = JWT::decode($jwt, $key, array('HS256'));

    // 验证JWT令牌的有效期
    if ($decoded->exp < time()) {
        throw new Exception('JWT令牌已过期');
    }

    // 验证JWT令牌的签名
    if ($decoded->iss !== 'my_issuer') {
        throw new Exception('JWT令牌的签名无效');
    }

    // 验证JWT令牌的主题
    if ($decoded->sub !== 'my_subject') {
        throw new Exception('JWT令牌的主题无效');
    }

    // 验证JWT令牌的受众
    if ($decoded->aud !== 'my_audience') {
        throw new Exception('JWT令牌的受众无效');
    }

    // 验证JWT令牌的其他声明
    // ...

    // Web应用程序逻辑
    echo 'Hello, ' . $decoded->username . '!';
} catch (Exception $e) {
    // 处理异常
    echo $e->getMessage();
}

在上面的代码中，我们首先从Cookie中获取JWT令牌，并使用JWT::decode方法来解码JWT令牌。然后，我们验证JWT令牌的有效期、签名、主题、受众和其他声明。如果JWT令牌是有效的，我们将执行Web应用程序逻辑。如果JWT令牌无效，我们将抛出一个异常并输出错误消息。

结论

通过本文的教程，您应该已经了解了如何使用PHP实现JWT鉴权。我们提供了两个示例，分别用于使用JWT鉴权保护API和Web应用程序。请记住，JWT是一种非常有用的技术，它可以帮助您更轻松地实现身份验证和授权。