PHP开发：如何使用 JWT 保护用户认证信息

王林原创: 2023-06-15 21:28:01 1212浏览

在当今的网络应用开发中，保护用户的身份认证信息是至关重要的。JWT（JSON Web Token）是一种安全的身份认证方式，它使用 JSON 格式将认证信息编码，并使用签名来保护数据的完整性。本文将介绍如何在 PHP 开发中使用 JWT 保护用户认证信息。

安装 JWT

首先，我们需要在 PHP 项目中安装 JWT。可以使用 Composer 工具来安装 JWT，命令如下：

composer require firebase/php-jwt

生成 JWT

在用户成功通过身份认证后，我们需要生成 JWT 并将其返回给客户端。在 PHP 中，可以使用以下代码生成 JWT：

use FirebaseJWTJWT;

$payload = array(
    "user_id" => 1234,
    "email" => "john@doe.com"
);

$secret_key = "secret_key";
$jwt = JWT::encode($payload, $secret_key);

使用 JWT::encode() 方法来生成 JWT。第一个参数是包含用户信息的关联数组，第二个参数是用于签名 JWT 的密钥。生成的 JWT 可以直接返回给客户端。

验证 JWT

一旦客户端收到 JWT 后，它会将 JWT 存储在本地并在每个请求中发送它，以便服务器可以验证用户身份。在 PHP 中，要验证 JWT，需要使用以下代码：

use FirebaseJWTJWT;

$jwt = "generated_jwt";

$secret_key = "secret_key";
try {
    $decoded = JWT::decode($jwt, $secret_key, array("HS256"));
    $user_id = $decoded->user_id;
    $email = $decoded->email;
} catch (Exception $e) {
    // JWT 验证失败
}

使用 JWT::decode() 方法来验证 JWT。第一个参数是待验证的 JWT，第二个参数是用于签名 JWT 的密钥，第三个参数是指定所使用的签名算法。如果 JWT 验证成功，将返回包含用户信息的对象 $decoded。

自定义有效期和过期时间

默认情况下，JWT 不包含有效期或过期时间，因此可以永久使用。为了更好地保护用户的身份认证信息，我们可以设置 JWT 的有效期和过期时间。

use FirebaseJWTJWT;

$payload = array(
    "user_id" => 1234,
    "email" => "john@doe.com",
    "exp" => time() + 3600,  // 有效期为 1 小时
    "nbf" => time() + 30  // 在 30 秒内无效
);

$secret_key = "secret_key";
$jwt = JWT::encode($payload, $secret_key);

在上面的代码中，我们通过设置 "exp" （有效期）和 "nbf" （不在之前）声明 JWT 的有效期和过期时间。在使用 JWT::decode() 方法验证 JWT 时，如果 JWT 已经过期或尚未进入有效期，将抛出异常。