2

Всем привет. Сейчас пытаюсь разобраться с использованием JWT в своём проекте на php. Использую библиотеку php-jwt. На данный момент получилось реализовать авторизацию через приложение на смартфоне. После успешной регистрации приложение получает jwt access_token (если я правильно понял) через JWT::encode($token, $key);. Также клиент может отправлять этот токен на сервер, который проверяет его корректность и например изменяет данные в БД.

Я достаточно много читал про JWT, но до конца всё равно не разобрался в принципе его работы.

У меня возникает сразу несколько вопросов.

  1. Как корректно настроить переменные для JWT:

    $key = "your_secret_key";
    $iss = "http://any-site.org";
    $aud = "http://any-site.com";
    $iat = 1356999524;
    $nbf = 1357000000;
    

    Как это вижу я:

    $key - любая комбинация цифр, знаков, букв - то есть что-то типа соли.
    $iss - адрес сайта, который выдаёт токены (место расположения сервера)
    $aud - аналогичный адрес (но как я прочитал, для генерации access и refresh используют два разных сервера) 
    $iat - время создания (нужно изменять каждый раз, когда генерируется access token?) 
    $nbf - время жизни токена (какое время нужно использовать?)
    
  2. Как формировать refresh токен? Судя по статьям про JWT.

    access_token — токен, который нам нужно будет отправлять в шапке каждого запроса, для получения данных в ответ.

    refresh_token — токен, который нам нужно будет отправлять, для получения нового токена, когда истечет время жизни старого

  3. Где хранить токены после получения?
    Я предполагаю, что access_token можно хранить в памяти смартфона и отправлять каждый раз, когда требуется его проверка со стороны сервера.

  4. Как сохранять авторизацию пользователя после каждого запуска приложения? Я бы отправлял access_token каждый раз, когда зарегистрированный пользователь открывает приложение и если валидация на сервере прошла успешна - проводил авторизацию (по аналогии с cookies).

Для меня JWT на данный момент достаточно сложная тема, но если кто-то, кто уже работал с ним, подскажет, я буду благодарен.

1

1 ответ 1

1
+50

1 - Payload — это любые данные, которые вы хотите передать в токене. Но стандарт предусматривает несколько зарезервированных полей: iss — (issuer) издатель токена sub — (subject) "тема", назначение токена,описываемый объект aud — (audience) аудитория, получатели токена exp — (expire time) срок действия токена nbf — (not before) срок, до которого токен не действителен iat — (issued at) время создания токена jti — (JWT id) идентификатор токена

пример: { "iss": " StuLux Team", "sub": "auth", "exp": 1505467756865, "iat": 1505467152065, "user": 3 }

2 - Пользователь логинится в приложении, передавая логин/пароль, в случае удачи создает запись в БД с рефреш токеном и временем его жизни, юзеру же возвращается сгенерированные сервером access и refresh токены JWT, для более подробного понимания можно разобрать примеры или использовать готовые решения библиотек с сайта https://jwt.io/#libraries.

3 - много холиваров на эту тему про хранение токенов JWT это вопрос уязвимости приложения так сказать, на клиенте access лежат в памяти приложения, refresh сетится в куке или ложится в локалсторедж

4 - для этого как раз и нужен refresh token

Более подробно можно почитать тут - https://gist.github.com/zmts/802dc9c3510d79fd40f9dc38a12bccfc

Я лично для начала рекомендую хотя бы для тестов развернуть какие то готовые решения и понять ход работы не делая велосипедов.

4
  • Спасибо за развёрнутый ответ) Уточните, а чем в этом случае отличается хранение в памяти приложения и хранение в local storage?
    – DenVebber
    12 мая 2020 в 10:08
  • рефреш токен имелось в виду что можно положить прямо на жесткий диск, в файле или бд, в случае с аксесс токеном то его сохранять никуда не рекомендуют, исключительно в памяти клиентского приложения, не в глобальных переменных к которым можно получить отовсюду доступ а в замыканиях. И все же для более детального понимания рекомендую изучить ссылку гит что дал выше, там можно получить исчерпывающее пособие за 15 минут чтения.
    – imvasha
    13 мая 2020 в 1:31
  • Вернулся к этому вопросу. С access token разобрался. В payload кидаю такую информацию: $payload = [ 'iat' => time(), 'iss' => 'jwt', // название хоста 'exp' => time() + 15, 'userId' => $user['id'] ]; Потом кодирую и вывожу в json: $token = JWT::encode($payload, SECRET_KEY); Refresh token генерирую так: $random_string = bin2hex(random_bytes(40)); Отправляю клиенту оба токена.
    – DenVebber
    7 июн 2020 в 18:06
  • Перед каждым запросом проверяю не просрочен ли access. Если не просрочен, всё ок, разрешаю доступ. Если просрочен - отправляю запрос на /refresh вместе с refresh токеном. Проверяю соответствует ли он тому, что находится в БД и не просрочен ли (сравниваю с датой создания в БД). Если просрочен или не найден, выкидываю форму авторизации. Если найден и такой же как пришёл, то создаю новый access и refresh и отправляю их клиенту. Правильно ли это?
    – DenVebber
    7 июн 2020 в 18:28

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.