php使用jwt生成token的簡單介紹

本文目錄一覽：

• 1、Thinkphp5.1 使用jwt生成和解析token 一 2021-04-01
• 2、後端如何發送touken
• 3、JWT生成token及過期處理方案

Thinkphp5.1 使用jwt生成和解析token 一 2021-04-01

一 通過Composer安裝firebase/php-jwt 5.2.1版本

二 common.php公共函數文件

後端如何發送touken

登錄後端之後採取合適的路徑發送。

具體步驟如下：

1、在後端登錄接口中，如果密碼驗證成功，則使用jwt模塊生成token。

2、將token響應給客戶端。

3、客戶端在登錄頁面中，通過then獲取token，再將token設置到localStorage里。

4、每當要發送請求時，就可以通過localStorage來讀取token，放在對服務器的請求中，使得服務器能夠驗證並返回用戶數據（路由守衛皆可）。這樣就可以發送了。

JWT生成token及過期處理方案

## 業務場景

在前後分離場景下，越來越多的項目使用token作為接口的安全機制，APP端或者WEB端（使用VUE、REACTJS等構建）使用token與後端接口交互，以達到安全的目的。本文結合stackoverflow以及本身項目實踐，試圖總結出一個通用的，可落地的方案。

## 基本思路

– 單個token

1. token（A）過期設置為15分鐘

2. 前端發起請求，後端驗證token（A）是否過期；如果過期，前端發起刷新token請求，後端設置已再次授權標記為true，請求成功

3. 前端發起請求，後端驗證再次授權標記，如果已經再次授權，則拒絕刷新token的請求，請求成功

4. 如果前端每隔72小時，必須重新登錄，後端檢查用戶最後一次登錄日期，如超過72小時，則拒絕刷新token的請求，請求失敗

– 授權token加上刷新token

用戶僅登錄一次，用戶改變密碼，則廢除token，重新登錄

## 1.0實現

1.登錄成功，返回access\_token和refresh\_token，客戶端緩存此兩種token; 

2.使用access_token請求接口資源，成功則調用成功；如果token超時，客戶端 

攜帶refresh\_token調用中間件接口獲取新的access\_token; 

3.中間件接受刷新token的請求後，檢查refresh_token是否過期。 

如過期，拒絕刷新，客戶端收到該狀態後，跳轉到登錄頁； 

如未過期，生成新的access\_token和refresh\_token並返回給客戶端（如有可能，讓舊的refresh\_token失效），客戶端攜帶新的access\_token重新調用上面的資源接口。 

4.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(使access\_token和refresh\_token失效)，同時清空客戶端的access\_token和refresh\_toke。

後端表 

id user\_id client\_id client\_secret refresh\_token expire\_in create\_date del_flag

## 2.0實現

場景： access\_token訪問資源 refresh\_token授權訪問 設置固定時間X必須重新登錄

1.登錄成功，後台jwt生成access\_token（jwt有效期30分鐘）和refresh\_token（jwt有效期15天），並緩存到redis（hash-key為token,sub-key為手機號,value為設備唯一編號（根據手機號碼，可以人工廢除全部token，也可以根據sub-key,廢除部分設備的token。），設置過期時間為1個月，保證最終所有token都能刪除)，返回後，客戶端緩存此兩種token; 

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果token超時，中間件刪除access\_token（廢除）；客戶端再次攜帶refresh\_token調用中間件接口獲取新的access_token; 

3.中間件接受刷新token的請求後，檢查refresh_token是否過期。 

如過期，拒絕刷新，刪除refresh_token（廢除）； 客戶端收到該狀態後，跳轉到登錄頁； 

如未過期，檢查緩存中是否有refresh\_token（是否被廢除），如果有，則生成新的access\_token並返回給客戶端，客戶端接着攜帶新的access_token重新調用上面的資源接口。 

4.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access\_token和refresh\_token（廢除）)，同時清空客戶端側的access\_token和refresh\_toke。 

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。 

6.以上3刷新access_token可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（拒絕的場景：失效，長時間未登錄，頻繁刷新）

2.0 變動 

1.登錄 

2.登錄攔截器 

3.增加刷新access_token接口 

4.退出登錄 

5.修改密碼

## 3.0實現

場景：自動續期 長時間未使用需重新登錄

1.登錄成功，後台jwt生成access\_token（jwt有效期30分鐘），並緩存到redis（hash-key為access\_token,sub-key為手機號,value為設備唯一編號（根據手機號碼，可以人工廢除全部token），設置access_token過期時間為7天，保證最終所有token都能刪除)，返回後，客戶端緩存此token;

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果token超時，中間件刪除access\_token（廢除）,同時生成新的access\_token並返回。客戶端收到新的access_token， 

再次請求接口資源。

3.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access\_token（廢除）)，同時清空客戶端側的access\_token。

4.以上2 可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（拒絕的場景：長時間未登錄，頻繁刷新）

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。

3.0 變動

1.登錄 

2.登錄攔截器 

3.退出登錄 

4.修改密碼

1.3 場景：token過期重新登錄 長時間未使用需重新登錄

1.登錄成功，後台jwt生成access\_token（jwt有效期7天），並緩存到redis，key為 “user\_id:access\_token”,value為access\_token（根據用戶id，可以人工廢除指定用戶全部token），設置緩存過期時間為7天，保證最終所有token都能刪除，請求返回後，客戶端緩存此access_token；

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果token超時，中間件刪除access\_token（廢除）,同時生成新的access\_token並返回。客戶端收到新的access_token， 

再次請求接口資源。

3.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access\_token（廢除）)，同時清空客戶端側的access\_token。

4.以上2 可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（拒絕的場景：長時間未登錄，頻繁刷新）

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。

1.3 變動

1.登錄 

2.登錄攔截器 

3.退出登錄 

4.修改密碼

# 解決方案

2.0 場景： access\_token訪問資源 refresh\_token授權訪問 設置固定時間X必須重新登錄

1.登錄成功，後台jwt生成access\_token（jwt有效期30分鐘）和refresh\_token（jwt有效期15天），並緩

存到redis（hash-key為token,sub-key為手機號,value為設備唯一編號（根據手機號碼，可以人工廢除全

部token，也可以根據sub-key,廢除部分設備的token。），設置過期時間為1個月，保證最終所有token都

能刪除)，返回後，客戶端緩存此兩種token;

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果

token超時，中間件刪除access\_token（廢除）；客戶端再次攜帶refresh\_token調用中間件接口獲取新的

access_token;

3.中間件接受刷新token的請求後，檢查refresh_token是否過期。

如過期，拒絕刷新，刪除refresh_token（廢除）； 客戶端收到該狀態後，跳轉到登錄頁；

如未過期，檢查緩存中是否有refresh\_token（是否被廢除），如果有，則生成新的access\_token並返回給

客戶端，客戶端接着攜帶新的access_token重新調用上面的資源接口。

4.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access\_token和refresh\_token（

廢除）)，同時清空客戶端側的access\_token和refresh\_toke。

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。

6.以上3刷新access_token可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（

拒絕的場景：失效，長時間未登錄，頻繁刷新）

2.0 變動

1.登錄

2.登錄攔截器

3.增加刷新access_token接口

4.退出登錄

5.修改密碼

3.0 場景：自動續期 長時間未使用需重新登錄

1.登錄成功，後台jwt生成access_token（jwt有效期30分鐘），並緩存到redis（hash-key為

access_token,sub-key為手機號,value為設備唯一編號（根據手機號碼，可以人工廢除全部token，也可以

根據sub-key,廢除部分設備的token。），設置access_token過期時間為1個月，保證最終所有token都能刪

除)，返回後，客戶端緩存此token;

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果

token超時，中間件刪除access\_token（廢除）,同時生成新的access\_token並返回。客戶端收到新的

access_token，

再次請求接口資源。

3.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access_token（廢除）)，同時清

空客戶端側的access_token。

4.以上2 可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（拒絕的場景：長

時間未登錄，頻繁刷新）

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。

3.0 變動

1.登錄

2.登錄攔截器

3.退出登錄

4.修改密碼

4.0 場景：token過期重新登錄 長時間未使用需重新登錄

1.登錄成功，後台jwt生成access_token（jwt有效期7天），並緩存到redis，key為

“user\_id:access\_token” + 用戶id,value為access_token（根據用戶id，可以人工廢除指定用戶全部

token），設置緩存過期時間為7天，保證最終所有token都能刪除，請求返回後，客戶端緩存此

access_token；

2.使用access\_token請求接口資源，校驗成功且redis中存在該access\_token（未廢除）則調用成功；如果

token超時，中間件刪除access\_token（廢除）,同時生成新的access\_token並返回。客戶端收到新的

access_token，

再次請求接口資源。

3.客戶端退出登錄或修改密碼後，調用中間件註銷舊的token(中間件刪除access_token（廢除）)，同時清

空客戶端側的access_token。

4.以上2 可以增加根據登錄時間判斷最長X時間必須重新登錄，此時則拒絕刷新token。（拒絕的場景：長

時間未登錄，頻繁刷新）

5.如手機丟失，可以根據手機號人工廢除指定用戶設備關聯的token。

4.0 變動

1.登錄

2.登錄攔截器

3.退出登錄

4.修改密碼

## 最終實現

### 後端

1. 在登錄接口中 如果校驗賬號密碼成功 則根據用戶id和用戶類型創建jwt token(有效期設置為-1，即永不過期),得到A

2. 更新登錄日期(當前時間new Date()即可)（業務上可選），得到B

3. 在redis中緩存key為ACCESS_TOKEN:userId:A(加上A是為了防止用戶多個客戶端登錄 造成token覆蓋),value為B的毫秒數（轉換成字符串類型），過期時間為7天（7 * 24 * 60 * 60）

4. 在登錄結果中返回json格式為{“result”:”success”,”token”: A}

5. 用戶在接口請求header中攜帶token進行登錄，後端在所有接口前置攔截器進行攔截，作用是解析token 拿到userId和用戶類型（用戶調用業務接口只需要傳token即可），

如果解析失敗（拋出SignatureException），則返回json（code = 0 ,info= Token驗證不通過, errorCode = ‘1001’）；

此外如果解析成功，驗證redis中key為ACCESS_TOKEN:userId:A 是否存在 如果不存在 則返回json（code = 0 ,info= 會話過期請重新登錄, errorCode = ‘1002’）；

如果緩存key存在，則自動續7天超時時間（value不變），實現頻繁登錄用戶免登陸。

6. 把userId和用戶類型放入request參數中 接口方法中可以直接拿到登錄用戶信息

7. 如果是修改密碼或退出登錄 則廢除access_tokens（刪除key）

### 前端（VUE）

1. 用戶登錄成功，則把username存入cookie中，key為loginUser;把token存入cookie中，key為accessToken

  把token存入Vuex全局狀態中

2. 進入首頁