如何构建安全且可伸缩的API？使用Composer和PHP-JWT轻松实现无状态认证

fproject/php-jwt

fproject/php-jwt

fproject/php-jwt

fproject/php-jwt

<pre class="brush:php;toolbar:false;">composer require fproject/php-jwt

fproject/php-jwt

<pre class="brush:php;toolbar:false;"><?php
require 'vendor/autoload.php'; // 引入 Composer 自动加载文件

use Firebase\JWT\JWT; // 注意命名空间是 Firebase\JWT\JWT
use Firebase\JWT\Key; // 引入 Key 类，用于指定密钥

// 你的秘密密钥，用于签名JWT。请务必妥善保管，不要泄露！
$key = "your_super_secret_key_here";

// JWT 的载荷 (Payload)
// 这些是你想在Token中包含的信息，例如用户ID、角色、过期时间等。
$payload = [
    "iss" => "http://your-domain.com", // 签发者
    "aud" => "http://your-client-app.com", // 受众
    "iat" => time(), // 签发时间
    "nbf" => time(), // 在此之前不予处理
    "exp" => time() + (3600 * 24), // 过期时间 (这里设置为24小时后过期)
    "user_id" => 123, // 用户ID
    "user_name" => "john.doe" // 用户名
];

// 编码 JWT
// 第一个参数是载荷，第二个是密钥，第三个是加密算法
$jwt = JWT::encode($payload, $key, 'HS256');

echo "生成的 JWT:\n" . $jwt . "\n\n";
?>

<pre class="brush:php;toolbar:false;"><?php
require 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = "your_super_secret_key_here"; // 必须与编码时使用的密钥相同

// 假设这是从客户端请求头中获取到的 JWT
$receivedJwt = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJodHRwOlwvXC95b3VyLWRvbWFpbi5jb20iLCJhdWQiOiJodHRwOlwvXC95b3VyLWNsaWVudC1hcHAuY29tIiwiaWF0IjoxNjc4ODkwMDAwLCJuYmYiOjE2Nzg4OTAwMDAsImV4cCI6MTY3ODk3NjQwMCwidXNlcl9pZCI6MTIzLCJ1c2VyX25hbWUiOiJqb2huLmRvZSJ9.xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"; // 替换为实际生成的JWT

try {
    // 解码 JWT
    // 第一个参数是收到的JWT字符串，第二个是密钥（可以是字符串或Key对象），第三个是允许的算法数组
    $decoded = JWT::decode($receivedJwt, new Key($key, 'HS256'), ['HS256']);

    echo "解码后的 JWT 载荷:\n";
    print_r($decoded);

    // 通常，解码后的结果是一个对象，你可以转换为数组方便操作
    $decoded_array = (array) $decoded;
    echo "\n解码后的数组载荷:\n";
    print_r($decoded_array);

    // 访问载荷中的数据
    echo "\n用户ID: " . $decoded_array['user_id'] . "\n";
    echo "用户名: " . $decoded_array['user_name'] . "\n";

} catch (Exception $e) {
    // 捕获各种异常，例如签名不正确、Token过期等
    echo "JWT 验证失败: " . $e->getMessage() . "\n";
}

// 小贴士：处理时钟偏差 (Leeway)
// 服务器之间可能存在时钟偏差，导致Token在刚生成就被认为过期。
// 可以设置一个“容忍时间” (leeway)，单位为秒。
JWT::$leeway = 60; // 允许60秒的时钟偏差
// 再次尝试解码，如果之前因为时钟偏差导致过期，现在可能成功
// $decoded = JWT::decode($receivedJwt, new Key($key, 'HS256'), ['HS256']);
?>

try-catch

<pre class="brush:php;toolbar:false;"><?php
// ... (引入 Composer 和 JWT 命名空间)

// 假设你的私钥和公钥文件
// 通常这些密钥会存储在文件中，这里为了演示直接写入字符串
$privateKey = <<<EOD
-----BEGIN RSA PRIVATE KEY-----
... 你的私钥内容 ...
-----END RSA PRIVATE KEY-----
EOD;

$publicKey = <<<EOD
-----BEGIN PUBLIC KEY-----
... 你的公钥内容 ...
-----END PUBLIC KEY-----
EOD;

$payload = [
    "iss" => "your.auth.server",
    "aud" => "your.api.service",
    "iat" => time(),
    "exp" => time() + 3600,
    "data" => "some_sensitive_info"
];

// 使用私钥和 RS256 算法编码
$jwtRs256 = JWT::encode($payload, new Key($privateKey, 'RS256'), 'RS256');
echo "RS256 编码后的 JWT:\n" . $jwtRs256 . "\n\n";

try {
    // 使用公钥和 RS256 算法解码
    $decodedRs256 = JWT::decode($jwtRs256, new Key($publicKey, 'RS256'), ['RS256']);
    echo "RS256 解码后的载荷:\n";
    print_r($decodedRs256);
} catch (Exception $e) {
    echo "RS256 JWT 验证失败: " . $e->getMessage() . "\n";
}
?>

fproject/php-jwt

fproject/php-jwt