PHP使用JWT创建Token简单示例

依赖

环境：php 5.5 以上 + OpenSSL扩展

lcobucci/JWT

可使用composer 安装

composer require lcobucci/jwt

也可以直接到 GitHub下载

GitHub地址： https://github.com/lcobucci/jwt

参数解释

iss (issuer)issuer 请求实体，可以是发起请求的用户的信息，也可是jwt的签发者

sub (Subject) 设置主题，类似于发邮件时的主题

aud (audience) 接收jwt的一方

exp (expire)token 过时间期

nbf (not before) 当前时间在nbf设定时间之前，该token无法使用

iat (issued at)token 创建时间

jti (JWT ID) 对当前token设置唯一标示

实例前准备

下面记录主要的依赖引用：

1. define('DS', DIRECTORY_SEPARATOR);
2. define('JWTPath', dirname(__FILE__) . DS);
3. include_once JWTPath . 'Builder.php';
4. include_once JWTPath . 'Signer.php';
5. include_once JWTPath . 'Signer' . DS . 'Keychain.php';
6. include_once JWTPath . 'Signer' . DS . 'Rsa.php';
7. include_once JWTPath . 'Signer' . DS . 'Rsa' . DS . 'Sha256.php';

当然它们里面还有更多的引用需要你自己加，这个在你调试时根据错误提示一个个补就好了，这里就不多写了。

实例：

使用【lcobucci/JWT】产生 Token 的方式有两种，在这里我只试验了第二种。

第一种：使用秘钥签名生成 token

1. use Lcobucci\JWT\Builder;
2. use Lcobucci\JWT\Signer\Hmac\Sha256;
3. $builder = new Builder();
4. $signer = new Sha256();
5. // 设置发行人
6. $builder->setIssuer('http://example.com');
7. // 设置接收人
8. $builder->setAudience('http://example.org');
9. // 设置id
10. $builder->setId('4f1g23a12aa', true);
11. // 设置生成token的时间
12. $builder->setIssuedAt(time());
13. // 设置在60秒内该token无法使用
14. $builder->setNotBefore(time() + 60);
15. // 设置过期时间
16. $builder->setExpiration(time() + 3600);
17. // 给token设置一个id
18. $builder->set('uid', 1);
19. // 对上面的信息使用sha256算法签名
20. $builder->sign($signer, '签名key');
21. // 获取生成的token
22. $token = $builder->getToken();

验证 Token

1. use Lcobucci\JWT\Signer\Hmac\Sha256;
2. $parse = (new Parser())->parse($token);
3. $signer = new Sha256();
4. $parse->verify($signer,'签名key');// 验证成功返回true 失败false

第二种：使用RSA和ECDSA签名

RSA和ECDSA签名是基于公钥和私钥,所以必须使用私钥生成和验证使用

1. use Lcobucci\JWT\Signer\Keychain;
2. // 注意这里使用的sha256
3. use Lcobucci\JWT\Signer\Rsa\Sha256;
4. $signer = new Sha256();
5. $keychain = new Keychain();
6. $builder = new Builder();
7. $builder->setIssuer('http://example.com');
8. $builder->setAudience('http://example.org');
9. $builder->setId('4f1g23a12aa', true);
10. $builder->setIssuedAt(time());
11. $builder->setNotBefore(time() + 60);
12. $builder->setExpiration(time() + 3600);
13. $builder->set('uid', 1);
14. // 与上面不同的是这里使用的是你的私钥，并提供私钥的地址
15. $builder->sign($signer, $keychain->getPrivateKey('file://{私钥地址}'));
16. $toekn = $builder->getToken();

最后还可以通过强制转换的形式来拿到你想要的纯字符串的 Token

$toekn = (string) $builder->getToken();

和前端的交互可以放在返回的 JSON 格式中通过参数带过去，也可以存放在 header Authorization 中。

验证 Token

1. $signer = new \Lcobucci\JWT\Signer\Rsa\Sha256();
2. $keychain = new \Lcobucci\JWT\Signer\Keychain();
3. $parse = new \Lcobucci\JWT\Parser();
4. $parse->parse((string)$token);
5. var_dump($token->verify($signer, $keychain->getPublicKey(self::$dir . '/public.key')));
6. ))

获取数据

因为数据部分可以直接获取到，不用解密。所以在验证token合法后直接读取即可，这也是不要在载体中存放敏感信息的原因。

1. $parse = (new Parser())->parse($token);
2. // 获取全部信息，返回一个数组，
3. var_dump($parse->getClaims());
4. // 获取单条信息
5. var_dump($parse->getClaim('aud'));