官網：https://jwt-auth.readthedocs.io 參考：https://learnku.com/articles/10885/full-use-of-jwt#99529fphp

一、token是什麼

token 翻譯爲令牌，就是鑑別身份的憑據，相似於身份證； token 本質就是一大串字符串，最經常使用的場景就是接口對接的鑑權。 token 經過一次登陸驗證，獲得一個鑑權字符串，隨後其它的請求每次都攜帶這個鑑權字符串，便可完成鑑權。 web

二、jwt是什麼

jwt 全稱json web token（翻譯爲數據網絡令牌） jwt 是一種規範化的 token，讓數據在網絡中安全傳輸。 jwt 使用場景：json

無狀態的 RESTful API SSO 單點登陸api

三、jwt安裝&配置

3.一、經過composer安裝

//安裝1.0以上版本安全

composer require tymon/jwt-auth 1.*@rc

3.二、配置

添加配置（config/app.php）網絡

//providers元素中添加：
Tymon\JWTAuth\Providers\LaravelServiceProvider::class,

//aliases元素中添加：
'JWTAuth' => Tymon\JWTAuth\Facades\JWTAuth::class,
'JWTFactory' => Tymon\JWTAuth\Facades\JWTFactory::class,

發佈配置session

php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"
//會自動生成一個配置文件：config/jwt.php

3.三、生成加密密鑰

php artisan jwt:secret
//.env 文件下生成一個加密密鑰

3.四、更新生成token模型

若是使用默認的 User 表來生成 token，app\user.phpapp

實現JWTSubject接口，實現getJWTIdentifier()和getJWTCustomClaims()方法composer

use Tymon\JWTAuth\Contracts\JWTSubject;

class User extends Authenticatable implements JWTSubject
{
    ...
    public function getJWTIdentifier()
    {
        return $this->getKey();
    }
    
    public function getJWTCustomClaims()
    {
        return [];
    }
}

3.5.修改 auth.php

config/auth.phpide

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
	'api' => [
		'driver' => 'jwt',      // 原來是 token 改爲jwt
		'provider' => 'users',
	],
],

四、jwt準備

4.一、新建控制器

php artisan make:controller AuthController

4.二、控制器添加方法

官方案例：

login登陸，me獲取用戶信息，logout退出登陸，refresh刷新token，respondWithToken返回token

<?php
namespace App\Http\Controllers;

class AuthController extends Controller
{
    /**
     * Create a new AuthController instance.
     * 要求附帶email和password（數據來源users表）
     * @return void
     */
    public function __construct()
    {
        // 這裏額外注意了：官方文檔樣例中只除外了『login』
        // 這樣的結果是，token 只能在有效期之內進行刷新，過時沒法刷新
        // 若是把 refresh 也放進去，token 即便過時但仍在刷新期之內也可刷新
        // 不過刷新一次做廢
        $this->middleware('auth:api', ['except' => ['login']]);
        // 另外關於上面的中間件，官方文檔寫的是『auth:api』
        // 可是我推薦用 『jwt.auth』，效果是同樣的，可是有更加豐富的報錯信息返回
    }

    /**
     * Get a JWT via given credentials.
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function login()
    {
        $credentials = request(['email', 'password']);

        if (! $token = auth('api')->attempt($credentials)) {
            return response()->json(['error' => 'Unauthorized'], 401);
        }

        return $this->respondWithToken($token);
    }

    /**
     * Get the authenticated User.
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function me()
    {
        return response()->json(auth('api')->user());
    }

    /**
     * Log the user out (Invalidate the token).
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function logout()
    {
        auth('api')->logout();

        return response()->json(['message' => 'Successfully logged out']);
    }

    /**
     * Refresh a token.
     * 刷新token，若是開啓黑名單，之前的token便會失效。
     * 值得注意的是用上面的getToken再獲取一次Token並不算作刷新，兩次得到的Token是並行的，即兩個均可用。
     * @return \Illuminate\Http\JsonResponse
     */
    public function refresh()
    {
        return $this->respondWithToken(auth('api')->refresh());
    }

    /**
     * Get the token array structure.
     *
     * @param  string $token
     *
     * @return \Illuminate\Http\JsonResponse
     */
    protected function respondWithToken($token)
    {
        return response()->json([
            'access_token' => $token,
            'token_type' => 'bearer',
            'expires_in' => auth('api')->factory()->getTTL() * 60
        ]);
    }
}

4.三、添加路由

routes/api.php

Route::group(['prefix' => 'auth'], function(){
    Route::post('login', 'AuthController@login');
    Route::post('logout', 'AuthController@logout');
    Route::post('refresh', 'AuthController@refresh');
    Route::post('me', 'AuthController@me');
});

4.四、添加users表數據

能夠註冊是如何添加的，看一下密碼的加密方式

App\Http\Controllers\Auth\RegisterController

...
protected function create(array $data)
{
    return User::create([
        'name' => $data['name'],
        'email' => $data['email'],
        'password' => Hash::make($data['password']),
    ]);
}

添加一條用戶數據

routes/web.php

Route::get('/register', function(){
    \App\User::create([
        'name' => 'bb',
        'email' => 'test@bb.com',
        'password' => \Illuminate\Support\Facades\Hash::make('123456'),
    ]);
});

五、jwt使用

jwt koken兩種使用方式

加到 url 中：?token=你的token

加到 header 中，建議用這種，由於在 https 狀況下更安全：Authorization:Bearer 你的token

第二種方式的 Bearer Bearer Bearer 別漏了，

也能夠在 AuthController respondWithToken() 返回的時候加上 'Bearer '.$token

六、結果

一、登陸返回token

經測試，登陸屢次產生的token均可以在有效期內使用

其餘接口請求時，攜帶登陸返回的token

二、獲取用戶信息

三、退出，刪除token

四、刷新token

laravel JWTAuth實現api接口鑑權(基礎篇)