在今天的信息时代，api已经不再仅仅是软件开发过程中的一项技术，它已成为现代web应用程序中不可或缺的组件。由于api接口很容易受到攻击，因此在开发api时，安全是一项重要的考虑因素之一。jwt（json web token）和jws（json web signature）是两种常用于保护api的身份验证方法。
JWT是一种基于JSON的安全令牌，用于在通信双方之间传输信息。它由三部分组成：头部、载荷和签名。头部描述了令牌的类型及算法，载荷包含了所需的信息，而签名则用于验证令牌的真实性。在使用JWT时，该令牌将被用作API请求的身份验证令牌。
JWS是一种用于在文本字符串中添加数字签名的标准。它使得消息可以在未受信任的环境中传输安全，并确保发送者的身份验证和消息的完整性。JWS通常使用SHA-256或SHA-512算法来生成签名。
在本文中，我们将探讨如何在PHP中使用JWT和JWS来进行API身份验证。
步骤1：安装依赖项
立即学习“PHP免费学习笔记（深入）”；
首先，我们需要安装一些依赖项来支持JWT和JWS。使用以下命令安装依赖项：
composer require firebase/php-jwt composer require lcobucci/jwt
步骤2：生成JWT
在使用JWT之前，我们需要先生成JWT。以下是用于生成JWT的PHP代码：
use FirebaseJWTJWT;
// Set up the JWT payload data
$payload = array(
"sub" => "1234567890",
"name" => "John Doe",
"iat" => 1516239022
);
// Set up the JWT secret key
$secret_key = "YOUR_SECRET_KEY";
// Generate the JWT
$jwt = JWT::encode($payload, $secret_key);通过这段代码，我们成功地生成了一个JWT。在此代码中，我们设置了标头，负载和签名。标头包含了JWT的类型和算法，负载由我们提供的数据组成，例如用户ID，用户名等等，签名用于验证令牌的真实性。
步骤3：验证JWT
下一步是验证该JWT。我们需要使用以下代码来验证JWT：
use FirebaseJWTJWT;
// Set up the JWT secret key
$secret_key = "YOUR_SECRET_KEY";
// Get the JWT from the request headers
$jwt = getAuthorizationHeader();
// Verify the JWT
try {
$payload = JWT::decode($jwt, $secret_key, array('HS256'));
} catch (Exception $e) {
// If the JWT is invalid, return an error response
return json_encode(array(
'success' => false,
'message' => 'Invalid JWT'
));
}
// If the JWT is valid, return a success response with the payload data
return json_encode(array(
'success' => true,
'message' => 'Valid JWT',
'payload' => $payload
));
// Function to get the Authorization header from the request
function getAuthorizationHeader()
{
$headers = apache_request_headers();
if (isset($headers['Authorization'])) {
return $headers['Authorization'];
} else {
return null;
}
}这段代码中，我们使用JWT::decode()函数来验证JWT。如果验证成功，将返回包含JWT负载数据的对象，否则将返回捕获到的异常并返回错误响应。
步骤4：生成JWS
现在，我们已经掌握了如何生成和验证JWT，接下来我们将了解如何使用JWS来保护API。以下是一个生成JWS的PHP代码段：
use LcobucciJWTBuilder;
use LcobucciJWTSignerHmacSha256;
// Set up the JWT signer
$signer = new Sha256();
// Set up the JWT builder
$builder = new Builder();
$builder->setIssuer('http://example.com');
$builder->setAudience('http://example.org');
$builder->setId('4f1g23a12aa', true);
$builder->setIssuedAt(time());
$builder->setExpiration(time() + 3600);
$builder->set('uid', 1);
// Sign the JWT
$token = $builder->sign($signer, 'YOUR_SECRET_KEY')->getToken();
// Get the token string
$jwt = (string) $token;步骤5：验证JWS
最后一步是验证JWS，我们需要使用以下代码：
use LcobucciJWTValidationData;
// Set up the JWT secret key
$secret_key = "YOUR_SECRET_KEY";
// Get the JWT from the request headers
$jwt = getAuthorizationHeader();
// Verify the JWS
$token = $signer->loadToken($jwt);
$validationData = new ValidationData();
$validationData->setIssuer('http://example.com');
$validationData->setAudience('http://example.org');
$validationData->setId('4f1g23a12aa');
$validationData->setCurrentTime(time());
if (!$token->validate($validationData) || !$token->verify($signer, $secret_key)) {
// If the JWS is invalid, return an error response
return json_encode(array(
'success' => false,
'message' => 'Invalid JWS'
));
}
// If the JWS is valid, return a success response with the payload data
$payload = $token->getClaims();
return json_encode(array(
'success' => true,
'message' => 'Valid JWS',
'payload' => $payload
));在这段代码中，我们使用loadToken()方法将JWT加载到验证器中，使用validate()方法验证JWT的内容，使用verify()方法验证JWT的签名是正确的。最后，我们提供了有效的响应，包含如果验证成功，从JWS中获取的来自载荷的数据。
结论
总的来说，在PHP中使用JWT和JWS进行API身份验证是非常好的实践。使用这些技术，我们可以确保API只会被授权的用户访问，并保护API不受恶意用户的攻击。遵循上述步骤，我们可以轻松地在PHP中实现这种安全身份验证。
