Laravel – 使用 JWT 替 API 作登入驗證

一般 Laravel 網站使用 CSRF 與 Auth 來確認資料是否從自己的網站及使用者/管理者發出的請求，但若是前後端分離的網站，前端都是透過 API 來取得資料， API 是完全對外開放，這時候我們無法使用 CSRF 與 Auth 來作驗證，用 CSRF 反而會將所有連接 API 的請求全部拒絕。這邊採用 JWT 套件來替 API 當作驗證機制。

請參考 JWT 套件官網 說明

安裝 JWT

composer require tymon/jwt-auth

產生 JWT config 檔案

php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

產生 JWT 金鑰

php artisan jwt:secret

修改 config\auth.php

    'guards' => [
        'web' => [
            'driver' => 'session',
            'provider' => 'users',
        ],
        //api認證改由JWT提供
        'api' => [
            'driver' => 'jwt',
            'provider' => 'users',
        ],

    ],

修改 User 模型 加入 JWT implement

//JWT用
use Tymon\JWTAuth\Contracts\JWTSubject;

//加入 JWTSubject implements 及 官方提供的兩個 function
class User extends Authenticatable implements JWTSubject
{
    use Notifiable;

    // Rest omitted for brevity

    /**
     * Get the identifier that will be stored in the subject claim of the JWT.
     *
     * @return mixed
     */
    public function getJWTIdentifier()
    {
        return $this->getKey();
    }

    /**
     * Return a key value array, containing any custom claims to be added to the JWT.
     *
     * @return array
     */
    public function getJWTCustomClaims()
    {
        return [];
    }
}

修改 route\api.php 建立 API 用 Route

//User Auth API
Route::post('login', 'API\UserLoginController@login');
Route::post('logout', 'API\UserLoginController@logout');
Route::post('refresh', 'API\UserLoginController@refresh');
Route::post('me', 'API\UserLoginController@me');

建立 API 用 UserLoginController

php artisan make:controller API\UserLoginController

<?php

namespace App\Http\Controllers\API;

use App\Http\Controllers\Controller;
use Illuminate\Http\Request;
use Validator;

use Illuminate\Support\Facades\Auth;

class UserLoginController extends Controller
{
    /**
     * Create a new AuthController instance.
     *
     * @return void
     */
    public function __construct()
    {
        //除了 login 其餘 function 都要經過 api 的 middleware 檢查
        $this->middleware('api', ['except' => ['login']]);
    }

    /**
     * Get a JWT via given credentials.
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function login()
    {
        $credentials = request(['email', 'password']);

        //驗證
        $validator = Validator::make($credentials, [
            'email'   => 'required|email',
            'password' => 'required|min:4',
        ]);

        //驗證失敗返回訊息
        if ($validator->fails()) {
            return response()->json(['error' => '帳號密碼錯誤'], 400);
        }

        //透過Auth取得JWT token
        if (! $token = auth('api')->attempt($credentials)) {
            return response()->json(['error' => '授權失敗'], 401);
        }

        //將token拋出
        return $this->respondWithToken($token);
    }

    /**
     * Get the authenticated User.
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function me()
    {
        return response()->json(auth('api')->user());
    }

    /**
     * Log the user out (Invalidate the token).
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function logout()
    {
        //抓取是否有返回token
        $token = request(['token']);
        //如果沒返回token則給出錯誤訊息
        if(!$token){
            return response()->json(['error' => 'Unauthorized'], 401);
        }
        //登出並清除token
        auth()->logout();
        return response()->json(['message' => 'Successfully logged out'], 200);
    }

    /**
     * Refresh a token.
     *
     * @return \Illuminate\Http\JsonResponse
     */
    public function refresh()
    {
        return $this->respondWithToken(auth()->refresh());
    }

    /**
     * Get the token array structure.
     *
     * @param  string $token
     *
     * @return \Illuminate\Http\JsonResponse
     */
    protected function respondWithToken($token)
    {
        return response()->json([
            'user' => auth('api')->user(), //將使用者資料一起帶出
            'access_token' => $token,
            'token_type' => 'bearer',
            'expires_in' => auth('api')->factory()->getTTL() * 60
        ]);
    }
}

測試 (登入)