前言
使用的是thans/tp-jwt-auth 包魂毁。支持Header、Cookie谐鼎、Param等多種傳參方式。包含驗證并且自動刷新等多種中間件趣惠。
環(huán)境要求
php >= 7.0
thinkphp ^5.1.10 || ^6.0.0
我這里使用的是ThinkPHP6 + PHP7.3
安裝
composer require thans/tp-jwt-auth
執(zhí)行以下命令狸棍，將生成jwt.php，并且.env中會隨機生成secret味悄，請不要隨意更新secret隔缀，也請保障secret安全。
php think jwt:create
使用方式：對于需要驗證的路由或者模塊添加中間件：
thans\jwt\middleware\JWTAuth::class
自定義認證中間件
說明：調(diào)用登錄接口傍菇，成功則返回token給前端猾瘸，所有需要用戶認證的路由都需要在頭部攜帶此token。（格式：將token加入header丢习，如下：Authorization:bearer token值）
同時牵触，后端會判斷用戶token是否過期，如果過期了會刷新token咐低，并且在響應header返回新的token給前端揽思，前端需要判斷響應header有沒token，如果有见擦，則直接使用此 token 替換掉本地的 token钉汗，以此達到無痛刷新token效果。
創(chuàng)建用戶認證中間件：
php think make:middleware JWT
代碼：
<?php
declare (strict_types=1);
namespace app\api\middleware;
use thans\jwt\exception\JWTException;
use thans\jwt\exception\TokenBlacklistException;
use thans\jwt\exception\TokenBlacklistGracePeriodException;
use thans\jwt\exception\TokenExpiredException;
use thans\jwt\middleware\JWTAuth;
use think\exception\HttpException;
/**
* JWT驗證刷新token機制
* Class JWTToken
* @package app\api\middleware
*/
class JWT extends JWTAuth
{
/**
* 刷新token
* @param $request
* @param \Closure $next
* @return mixed
* @throws JWTException
* @throws TokenBlacklistException
* @throws TokenBlacklistGracePeriodException
*/
public function handle($request, \Closure $next): object
{
try {
$payload = $this->auth->auth();
} catch (TokenExpiredException $e) { // 捕獲token過期
// 嘗試刷新token鲤屡，會將舊token加入黑名單
try {
$this->auth->setRefresh();
$token = $this->auth->refresh();
$payload = $this->auth->auth(false);
} catch (TokenBlacklistGracePeriodException $e) {
$payload = $this->auth->auth(false);
} catch (JWTException $exception) {
// 如果捕獲到此異常损痰，即代表 refresh 也過期了，用戶無法刷新令牌酒来，需要重新登錄卢未。
throw new HttpException(401, $exception->getMessage());
}
} catch (TokenBlacklistGracePeriodException $e) { // 捕獲黑名單寬限期
$payload = $this->auth->auth(false);
} catch (TokenBlacklistException $e) { // 捕獲黑名單，退出登錄或者已經(jīng)自動刷新堰汉，當前token就會被拉黑
throw new HttpException(401, '未登錄..');
}
// 可以獲取payload里自定義的字段辽社，比如uid
$request->uid = $payload['uid']->getValue();
$response = $next($request);
// 如果有新的token，則在響應頭返回（前端判斷一下響應中是否有 token翘鸭，如果有就直接使用此 token 替換掉本地的 token滴铅，以此達到無痛刷新token效果）
if (isset($token)) {
$this->setAuthentication($response, $token);
}
return $response;
}
}
在路由中使用中間件
Route::group(function () {
Route::get('user', 'user/index');
})->middleware(\app\api\middleware\JWT::class);
登錄接口
......
// 登錄邏輯省略
$user = xxxx;
// 生成token，參數(shù)為用戶認證的信息就乓，請自行添加
$token = JWTAuth::builder(['uid' => $user->id]);
return [
'token' => 'Bearer ' . $token
];
......
使用Postman進行測試汉匙，注意參數(shù)名是：Authorization
image.png
前端自定義響應攔截器
axios.interceptors.response.use((response) => {
// 判斷響應中是否有token譬淳，如果有則使用此token替換掉本地的token
this.refreshToken(response);
return response
}, (error) => {
// 判斷錯誤響應中是否有token，如果有則使用此token替換掉本地的token
this.refreshToken(error.response);
switch (error.response.status) {
// http狀態(tài)碼為401盹兢，則清除本地的數(shù)據(jù)并跳轉(zhuǎn)到登錄頁面
case 401:
localStorage.removeItem('token');
console.log('需要重新登錄')
break;
// http狀態(tài)碼為400，則彈出錯誤信息
case 400:
console.log(error.response.data.error);
break;
}
return Promise.reject(error)
})
.......
methods: {
// 刷新token
refreshToken(response) {
let token = response.headers.authorization
if (token) {
localStorage.setItem('token', token);
}
}
}
前端需要用戶認證請求示例
axios.get('xxx', {
headers: {
Authorization: localStorage.getItem('token')
}
}).then(response => {
console.log(response)
}).catch(error => { //請求失敗守伸，error接收失敗原因
console.log(error);
});
