Laravel JWT検証孤立ポリエピトープ

なぜ隔離を行います

同じ項目の複数laravelエンド（モバイル端末管理側は......）JWTの使用が必要な場合、ユーザ認証を行うユーザテーブルには、複数（通常はそこを）持っている場合、あなたはトークン分離を行う必要があり、または発生しますトークン、携帯端末にも権限のないユーザーで、その結果、問題の経営側に要求することができます。

この問題につながる理由は、主キーのみ可能ストアデータテーブルのJWTトークンのデフォルト値のlaravelある、とテーブルを区別しませんでした。テーブルにユーザーIDで運ばれたトークンが存在する限り、それは不正な検証につながります。

私たちは、元のJWTトークンのルックlaravelを取ります：

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1,
    "prv": "92d5e8eb1b38ccd11476896c19b0e44512b2aacd"
}

データを搬送するサブフィールドであり、他のフィールドは、JWT検証フィールドです。

私たちは、1の値をサブ参照、およびバリデータであるテーブルまたはその指定されていませんでした。このトークンは（laravelは、ドキュメントを守る理解を参照してください）異なるガードは、ユーザID 1に対応するテーブルを取得することができます、あなたが使用し、ご確認のミドルウェアを渡します。

ソリューション

限り、私たちがどのテーブルまたは生成を確認している区別して、私たちのカスタムフィールドの遵守を確認するために、独自のミドルウェアを書き込むために使用される当社のトークンカスタムフィールドの上に置くと、権限のないユーザーの問題を解決したいです期待。

トークンにカスタム情報を追加します。

私たちは、あなたがJWT認証を使用したいことを知って、ユーザーモデルは（コードはJWT文書を撮影したものです）JWTSubjectインターフェイスを実装する必要があります。

<?php

namespace App;

use Tymon\JWTAuth\Contracts\JWTSubject;
use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable implements JWTSubject
{
    use Notifiable;

    // Rest omitted for brevity

    /**
     * Get the identifier that will be stored in the subject claim of the JWT.
     *
     * @return mixed
     */
    public function getJWTIdentifier()
    {
        return $this->getKey();
    }

    /**
     * Return a key value array, containing any custom claims to be added to the JWT.
     *
     * @return array
     */
    public function getJWTCustomClaims()
    {
        return [];
    }
}

私たちは、達成するためにこれらの2つの方法の役割を見ることができます。

• getJWTIdentifier：アクセスがJWT文を識別するために保存され、実際に、私たちはテーブルのユーザー名を識別する主キーフィールドに戻りたい、ここでは主キー「ID」のリターンがあり、
• getJWTCustomClaims：、配列のカスタムJWTの宣言に追加するキーと値を返します。ここでは空の配列を返し、任意のカスタム情報を追加しませんでした。

その後、我々はユーザモデルの実現getJWTCustomClaims方法で私たちのカスタム情報を追加することができます。

管理者モデル：

/**
 * 额外在 JWT 载荷中增加的自定义内容
 *
 * @return array
 */
public function getJWTCustomClaims()
{
    return ['role' => 'admin'];
}

エンド・ユーザー・モデルの移動：

/**
 * 额外在 JWT 载荷中增加的自定义内容
 *
 * @return array
 */
public function getJWTCustomClaims()
{
    return ['role' => 'user'];
}

ここでは、ユーザーIDと役割名を追加します。

だから管理者は、このようなトークンを生成します。

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1,
    "prv": "92d5e8eb1b38ccd11476896c19b0e44512b2aacd",
    "role": "admin"
}

このように生成され、エンドユーザーのモバイルトークン：

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1,
    "prv": "92d5e8eb1b38ccd11476896c19b0e44512b2aacd",
    "role": "user"
}

我们可以看到这里多了一个我们自己加的role字段，并且对应我们的用户模型。

接下来我们自己写一个中间件，解析token后判断是否是我们想要的角色，对应就通过，不对应就报401就好了。

编写jwt角色校验中间件

这里提供一个可全局使用的中间件(推荐用在用户验证中间件前)：

<?php
/**
 * Created by PhpStorm.
 * User: wlalala
 * Date: 2019-04-17
 * Time: 13:55
 */

namespace App\Http\Middleware;

use Closure;
use Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException;
use Tymon\JWTAuth\Exceptions\JWTException;
use Tymon\JWTAuth\Http\Middleware\BaseMiddleware;

class JWTRoleAuth extends BaseMiddleware
{
    /**
     * Handle an incoming request.
     *
     * @param $request
     * @param Closure $next
     * @param null $role
     * @return mixed
     */
    public function handle($request, Closure $next, $role = null)
    {
        try {
            // 解析token角色
            $token_role = $this->auth->parseToken()->getClaim('role');
        } catch (JWTException $e) {
            /**
             * token解析失败，说明请求中没有可用的token。
             * 为了可以全局使用（不需要token的请求也可通过），这里让请求继续。
             * 因为这个中间件的责职只是校验token里的角色。
             */
            return $next($request);
        }

        // 判断token角色。
        if ($token_role != $role) {
            throw new UnauthorizedHttpException('jwt-auth', 'User role error');
        }

        return $next($request);
    }
}

注册jwt角色校验中间件

在app/Http/Kernel.php中注册中间件：

/**
 * The application's route middleware.
 *
 * These middleware may be assigned to groups or used individually.
 *
 * @var array
 */
protected $routeMiddleware = [
    // ...省略 ...

    // 多表jwt验证校验
    'jwt.role' => \App\Http\Middleware\JWTRoleAuth::class,
];

使用jwt角色校验中间件

接下来在需要用户验证的路由组中添加我们的中间件:

Route::group([
    'middleware' => ['jwt.role:admin', 'jwt.auth'],
], function ($router) {
    // 管理员验证路由
    // ...
});

Route::group([
    'middleware' => ['jwt.role:user', 'jwt.auth'],
], function ($router) {
    // 移动端用户验证路由
    // ...
});

至此完成jwt多表用户验证隔离。