Laravel jwt 多表（多使用者端）驗證隔離

wlalala發表於2019-05-24
LaravelJWT

為什麼要做隔離

當同一個laravel專案有多端（移動端、管理端......）都需要使用jwt做使用者驗證時，如果使用者表有多個（一般都會有），就需要做token隔離，不然會發生移動端的token也能請求管理端的問題，造成使用者越權。

會引發這個問題的原因是laravel的jwt token預設只會儲存資料表的主鍵的值，並沒有區分是那個表的。所以只要token裡攜帶的ID在你的使用者表中都存在，就會導致越權驗證。

我們來看看laravel的jwt token 的原貌：

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1
}

攜帶資料的是sub欄位，其他欄位是jwt的驗證欄位。

我們只看到sub的值為1，並沒有說明是那個表或是哪個驗證器的。這個token透過你的驗證中介軟體時，你使用不同的guard就能拿到對應表id為1的使用者（瞭解guard請檢視laravel的文件）。

解決辦法

想要解決使用者越權的問題，我們只要在token上帶上我們的自定義欄位，用來區分是哪個表或哪個驗證器生成的，然後再編寫自己的中介軟體驗證我們的自定義欄位是否符合我們的預期。

新增自定義資訊到token

我們知道要使用jwt驗證，使用者模型必須要實現JWTSubject的介面（程式碼取自jwt文件）：

<?php

namespace App;

use Tymon\JWTAuth\Contracts\JWTSubject;
use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable implements JWTSubject
{
    use Notifiable;

    // Rest omitted for brevity

    /**
     * Get the identifier that will be stored in the subject claim of the JWT.
     *
     * @return mixed
     */
    public function getJWTIdentifier()
    {
        return $this->getKey();
    }

    /**
     * Return a key value array, containing any custom claims to be added to the JWT.
     *
     * @return array
     */
    public function getJWTCustomClaims()
    {
        return [];
    }
}

我們可以看看實現的這兩個方法的作用：

  • getJWTIdentifier的：獲取會儲存到jwt宣告中的標識，其實就是要我們返回標識使用者表的主鍵欄位名稱，這裡是返回的是主鍵'id',
  • getJWTCustomClaims：返回包含要新增到jwt宣告中的自定義鍵值對陣列，這裡返回空陣列，沒有新增任何自定義資訊。

接下來我們就可以在實現了getJWTCustomClaims方法的使用者模型中新增我們的自定義資訊了。

管理員模型：

/**
 * 額外在 JWT 載荷中增加的自定義內容
 *
 * @return array
 */
public function getJWTCustomClaims()
{
    return ['role' => 'admin'];
}

移動端使用者模型：

/**
 * 額外在 JWT 載荷中增加的自定義內容
 *
 * @return array
 */
public function getJWTCustomClaims()
{
    return ['role' => 'user'];
}

這裡新增了一個角色名作為使用者標識。

這樣管理員生成的token會像這樣：

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1,
    "role": "admin"
}

移動端使用者生成的token會像這樣：

{
    "iss": "http://your-request-url",
    "iat": 1558668215,
    "exp": 1645068215,
    "nbf": 1558668215,
    "jti": "XakIDuG7K0jeWGDi",
    "sub": 1,
    "role": "user"
}

我們可以看到這裡多了一個我們自己加的role欄位，並且對應我們的使用者模型。

接下來我們自己寫一箇中介軟體，解析token後判斷是否是我們想要的角色，對應就透過，不對應就報401就好了。

編寫jwt角色校驗中介軟體

這裡提供一個可全域性使用的中介軟體(推薦用在使用者驗證中介軟體前)：

<?php
/**
 * Created by PhpStorm.
 * User: wlalala
 * Date: 2019-04-17
 * Time: 13:55
 */

namespace App\Http\Middleware;

use Closure;
use Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException;
use Tymon\JWTAuth\Exceptions\JWTException;
use Tymon\JWTAuth\Http\Middleware\BaseMiddleware;

class JWTRoleAuth extends BaseMiddleware
{
    /**
     * Handle an incoming request.
     *
     * @param $request
     * @param Closure $next
     * @param null $role
     * @return mixed
     */
    public function handle($request, Closure $next, $role = null)
    {
        try {
            // 解析token角色
            $token_role = $this->auth->parseToken()->getClaim('role');
        } catch (JWTException $e) {
            /**
             * token解析失敗，說明請求中沒有可用的token。
             * 為了可以全域性使用（不需要token的請求也可透過），這裡讓請求繼續。
             * 因為這個中介軟體的責職只是校驗token裡的角色。
             */
            return $next($request);
        }

        // 判斷token角色。
        if ($token_role != $role) {
            throw new UnauthorizedHttpException('jwt-auth', 'User role error');
        }

        return $next($request);
    }
}

註冊jwt角色校驗中介軟體

在app/Http/Kernel.php中註冊中介軟體：

    /**
     * The application's route middleware.
     *
     * These middleware may be assigned to groups or used individually.
     *
     * @var array
     */
    protected $routeMiddleware = [
        // ...省略 ...

        // 多表jwt驗證校驗
        'jwt.role' => \App\Http\Middleware\JWTRoleAuth::class,
    ];

使用jwt角色校驗中介軟體

接下來在需要使用者驗證的路由組中新增我們的中介軟體:


Route::group([
    'middleware' => ['jwt.role:admin', 'jwt.auth'],
], function ($router) {
    // 管理員驗證路由
    // ...
});

Route::group([
    'middleware' => ['jwt.role:user', 'jwt.auth'],
], function ($router) {
    // 移動端使用者驗證路由
    // ...
});

至此完成jwt多表使用者驗證隔離。

本作品採用《CC 協議》，轉載必須註明作者和本文連結

相關文章