在 Web 开发中，最常见的需求之一就是用户身份验证。为了实现安全的身份验证，Web 开发者可以依赖于许多不同的机制。其中一种很受欢迎的方法是 JSON Web Tokens（JWT），它提供了一种基于令牌的身份验证方法。
在本文中，我们将介绍 JWT 的基本概念，然后演示如何在 PHP 中使用 JWT 进行身份验证。我们将使用一个简单的示例 API 来说明。
- 什么是 JWT?
JWT 是一个开放标准（RFC 7519），它定义了一种基于 JSON 格式的令牌协议，用于在服务端和客户端之间传输信息。JWT 由三个部分组成：头部、负载和签名。
头部包含了令牌的元数据，例如令牌类型和签名算法。负载包含了要传输的数据。JWT 的传输是通过 Base64 编码的。签名部分则是对头部和负载的哈希值进行签名。
立即学习“PHP免费学习笔记（深入）”；
- 如何使用 JWT 进行身份验证？
在实际应用中，我们通常会在用户登录成功后生成一个 JWT，然后将其发送回客户端。客户端每次访问受保护的 API 时，都需要将 JWT 作为身份验证信息发送到服务端。服务端可以对 JWT 的有效性进行验证，并基于其验证用户身份。
下面我们来演示如何在 PHP 中使用 JWT 进行身份验证。本示例中，我们将创建一个简单的 API 来验证 JWT。API 将接受 GET 请求，并将 JWT 作为查询参数传递。
首先，我们需要安装 php-jwt 库。我们可以使用 Composer 来完成引入：
composer require firebase/php-jwt
然后，我们需要编写一个函数，将负载数据转换为 JWT 并签名它：
function generateToken($payload) {
$key = "secret_key";
$token = array(
"iss" => "http://example.org",
"aud" => "http://example.com",
"iat" => time(),
"exp" => time() + (60*60),
"data" => $payload
);
return JWT::encode($token, $key);
}在这个函数中，我们设置了一些基本的元数据，例如 "iss"（颁发者）、"aud"（接收者）、"iat"（签发时间）和 "exp"（过期时间）。我们还将用户数据添加到 JWT 的数据部分中。最后，我们使用 PHP-JWT 库的 encode 方法对 JWT 进行签名，并使用 "secret_key" 作为签名密钥。
接下来，我们需要编写一个验证函数，以检查传入的 JWT 是否有效：
function validateToken($jwt) {
$key = "secret_key";
try {
$data = JWT::decode($jwt, $key, array('HS256'));
return true;
} catch (Exception $e) {
return false;
}
}在这个函数中，我们使用 PHP-JWT 库的 decode 方法解码 JWT，并使用相同的密钥进行验证。如果 JWT 验证通过，则返回 true，否则返回 false。
最后，我们需要编写一个入口脚本来接收 GET 请求，并验证 JWT：
require_once 'vendor/autoload.php';
use FirebaseJWTJWT;
$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
$data = JWT::decode($jwt, "secret_key", array('HS256'));
echo "Welcome " . $data->data->username . "!";
} else {
echo "Invalid token!";
}在这个脚本中，我们首先从 GET 请求参数中获取 JWT，然后调用 validateToken 函数以检验 JWT 是否有效。如果 JWT 有效，我们可以解码它，并从中提取出我们存储的用户信息，然后欢迎用户。否则，我们将输出 "Invalid token!"。
完整代码如下：
require_once 'vendor/autoload.php';
use FirebaseJWTJWT;
function generateToken($payload) {
$key = "secret_key";
$token = array(
"iss" => "http://example.org",
"aud" => "http://example.com",
"iat" => time(),
"exp" => time() + (60*60),
"data" => $payload
);
return JWT::encode($token, $key);
}
function validateToken($jwt) {
$key = "secret_key";
try {
$data = JWT::decode($jwt, $key, array('HS256'));
return true;
} catch (Exception $e) {
return false;
}
}
$jwt = $_GET['jwt'];
if (validateToken($jwt)) {
$data = JWT::decode($jwt, "secret_key", array('HS256'));
echo "Welcome " . $data->data->username . "!";
} else {
echo "Invalid token!";
}- 总结
本文介绍了如何在 PHP 中使用 JWT 进行身份验证。我们基于一个简单的 API 对 JWT 进行了演示，详细介绍了如何生成和验证 JWT。
使用 JWT 进行身份验证的关键点在于正确设置 JWT 的元数据和使用正确的签名算法。此外，应该始终使用安全的密钥来对 JWT 进行签名。
因此，在开发应用程序时，您应该仔细考虑如何使用 JWT，以确保您的应用程序是安全的。
