php JWT在web端的使用方法
解释一下JWT
JWT就是一个字符串,经过加密处理与校验处理的字符串,由三个部分组成。基于token的身份验证可以替代传统的cookie+session身份验证方法。三个部分分别如下:
header.payload.signature
header部分组成
header 格式为:
{
"typ":"JWT",
"alg":"HS256"
}
这就是一个json串,两个字段都是必须的,alg
字段指定了生成signature
的算法,默认值为 HS256
,可以自己指定其他的加密算法,如RSA
.经过base64encode
就可以得到 header.
payload 部分组成
playload 基本组成部分:
简单点:
$payload=['iss' => $issuer, //签发者'iat' => $_SERVER['REQUEST_TIME'], //什么时候签发的'exp' => $_SERVER['REQUEST_TIME'] + 7200 //过期时间'uid'=>1111];
复杂点:官方说法,三个部分组成(
Reserved claims
,Public claims
,Private claims
)
$token = [#非必须。issuer 请求实体,可以是发起请求的用户的信息,也可是jwt的签发者。"iss" => "http://example.org",#非必须。issued at。 token创建时间,unix时间戳格式"iat" => $_SERVER['REQUEST_TIME'],#非必须。expire 指定token的生命周期。unix时间戳格式"exp" => $_SERVER['REQUEST_TIME'] + 7200,#非必须。接收该JWT的一方。"aud" => "http://example.com",#非必须。该JWT所面向的用户"sub" => "jrocket@example.com",# 非必须。not before。如果当前时间在nbf里的时间之前,则Token不被接受;一般都会留一些余地,比如几分钟。"nbf" => 1357000000,# 非必须。JWT ID。针对当前token的唯一标识"jti" => '222we',# 自定义字段"GivenName" => "Jonny",# 自定义字段"name" => "Rocket",# 自定义字段"Email" => "jrocket@example.com",];
payload
也是一个json数据,是表明用户身份的数据,可以自己自定义字段,很灵活。你也可以简单的使用,比如简单的方式。经过json_encode
和base64_encode
就可得到payload
signature组成部分
将
header
和payload
使用header中指定的加密算法加密,当然加密过程还需要自定秘钥,自己选一个字符串就可以了。
官网实例:
HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret)
自己使用:
<?phppublic static function encode(array $payload, string $key, string $alg = 'SHA256'){$key = md5($key);$jwt = self::urlsafeB64Encode(json_encode(['typ' => 'JWT', 'alg' => $alg])) . '.' . self::urlsafeB64Encode(json_encode($payload));return $jwt . '.' . self::signature($jwt, $key, $alg);}public static function signature(string $input, string $key, string $alg){return hash_hmac($alg, $input, $key);}
这三个部分使用.
连接起来就是高大上的JWT
,然后就可以使用了.
JWT使用流程
官方使用流程说明:
翻译一下:
- 初次登录:用户初次登录,输入用户名密码
- 密码验证:服务器从数据库取出用户名和密码进行验证
- 生成JWT:服务器端验证通过,根据从数据库返回的信息,以及预设规则,生成JWT
- 返还JWT:服务器的HTTP RESPONSE中将JWT返还
- 带JWT的请求:以后客户端发起请求,HTTP REQUEST HEADER中的Authorizatio字段都要有值,为JWT
JWT 验证过程
因为自己写的,没有使用框架,所以还是得简单记录一下验证过程
客户端在请求头中带有JWT
信息,后端获取$_SERVER[HTTP_AUTHORIZATION]
:
不过注意一点,我这个Authorization
没有加Bearer
,官方使用中就使用了Bearer
,你也可以自己使用:
Authorization: Bearer <token>
php 验证伪代码:
<?php
public static function decode(string $jwt, string $key){$tokens = explode('.', $jwt);$key = md5($key);if (count($tokens) != 3)return false;list($header64, $payload64, $sign) = $tokens;$header = json_decode(self::urlsafeB64Decode($header64), JSON_OBJECT_AS_ARRAY);if (empty($header['alg']))return false;if (self::signature($header64 . '.' . $payload64, $key, $header['alg']) !== $sign)return false;$payload = json_decode(self::urlsafeB64Decode($payload64), JSON_OBJECT_AS_ARRAY);$time = $_SERVER['REQUEST_TIME'];if (isset($payload['iat']) && $payload['iat'] > $time)return false;if (isset($payload['exp']) && $payload['exp'] < $time)return false;return $payload;}public static function urlsafeB64Decode(string $input){$remainder = strlen($input) % 4;if ($remainder){$padlen = 4 - $remainder;$input .= str_repeat('=', $padlen);}return base64_decode(strtr($input, '-_', '+/'));}public static function urlsafeB64Encode(string $input){return str_replace('=', '', strtr(base64_encode($input), '+/', '-_'));}
参考文章:
https://jwt.io/introduction/
http://www.cnblogs.com/zjutzz...
php JWT在web端的使用方法相关推荐
- JSON Web Token (JWT),服务端信息传输安全解决方案
转载自 JSON Web Token (JWT),服务端信息传输安全解决方案 JWT介绍 JSON Web Token(JWT)是一种开放标准(RFC 7519),它定义了一种紧凑独立的基于JSON对 ...
- netty 游戏服务器框图_基于Netty和WebSocket协议实现Web端自动打印订单服务方法与流程...
本发明涉及电子商务技术领域,尤其涉及一种基于netty和websocket协议实现web端自动打印订单服务方法. 背景技术: 电子商务是以信息网络技术为手段,以商品交换为中心的商务活动:也可理解为在互 ...
- PHP加载lod,面向大场景模型web端动态渲染LOD处理方法与流程
本发明属于计算机虚拟现实技术领域,具体而言是基于无人机采集的大场景图片进行建模,针对建模后的网格数据处理的方法,处理过的数据能够在web端无延迟加载并能够实时渲染. 背景技术: 近年来随着虚拟现实技术 ...
- 外部web端访问微信小程序云数据库的几种方法
前言 我当前的项目是小程序开发,使用的是云开发方式,那么这时涉及到了小程序端提交的数据会保存到云数据库中,可是呢这些个数据要被外部访问用来管理,也就是还得弄一个管理后台界面管理这些数据.那就需要拿到云 ...
- bim 模型web页面展示_一种基于BIM模型的Web端轻量化展示方法与流程
本发明涉及基坑结构模型技术领域,尤其涉及一种基于bim模型的web端轻量化展示方法. 背景技术: 建筑信息模型(buildinginformationmodeling,bim)技术在土木工程领域快速推 ...
- 从web端循环录入数据库的方法
从web端循环录入数据库的方法 1.效果图 2.前端代码片段展示 3.后端代码展示
- Zabbix和agent端部署、图示Zabbix Web端搭建以及添加设备的4种方法、Zabbix API
Zabbix zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案. zabbix能监视各种网络参数,保证服务器系统的安全运营:并提供灵活的通知机制以让系统管理员 ...
- WEB端和微信小程序端的文档文件在线预览方法
文件的在线预览方式汇总 文件在线预览功能可以提高用户体验,值得加入. 一般常见的文件有office套装.pdf.txt.md.和音视频. 音视频的预览是单独一块,今天主要说说文档文件的在线预览功能. ...
- Tomcat【环境搭建 02】Web端403 Access Denied You are not authorized to view this page解决方法(Tomcat 10.2.12 版本)
1. 问题说明 启动Tomcat之后,我们常常是要打开Web端进行验证,其实Web端的功还有很多,但是有一些管理页面权限不足: 我们点击 Manager Status 或 Manager App 链接 ...
最新文章
- 字段缩写ti表示什么_【滴水研究】解码TI(一)
- CentOS-7.2部署OpenLDAP服务器以及客户端
- Android自动填充短信验证码
- 算法题目——爬楼梯(动态规划)
- 产品经理经验谈:与产品经理有关的100件小事儿~
- qq浏览器怎么导入其他浏览器收藏夹
- C#的多线程机制探索5
- 步步为营!高手教你如何有效使用深度学习解决实际问题
- Hadoop---(2)HDFS 介绍
- 网游开发引擎应用分析
- 安卓逆向 -- JEB3.7安装使用
- 百度热力图颜色说明_基于百度热力图的中国多中心城市分析|上海城市规划
- 北京林业大学matlab公选课,北林选课攻略
- python 爬取句子迷,多好的一个网站(哭~~)
- 2106_视频处理与压缩技术_中文综述
- windows系统下scheme语言编程环境的搭建
- word方框中打√符号的方法
- 笔记:使用CSS实现箭头图标
- 系统培训流程及注意事项,实操总节
- idea本地项目push到远程仓库报错解决方法
热门文章
- 在WORD中删除中文或英文
- 财务一体化项目,进度与计划8
- spark的外排:AppendOnlyMap与ExternalAppendOnlyMap
- Ajax-jQuery_Ajax_实例 ($.ajax、$.post、$.get)
- CentOS 6.4 yum安装LAMP环境
- mac/unix系统:C++实现一个端口扫描器
- 深入分析FreeDos -- 前言
- 20非常有用的Java程序片段(11-15)
- [转]配置nginx+apache 其中动态由apache处理,静态由nginx处理
- Java Stream API进阶篇