使用 jwt 来进行 token 的验证

token 验证

token 相当于是一个令牌，在用户登录的时候由服务器端生成 (基于用户名、时间戳、过期时间、发行者等信息进行签名) 然后发放给客户端，客户端将令牌保存，在以后需要登录验证的请求中都需要将令牌发送到服务器端进行验证，如果验证成功，则返回数据

token 验证的优势

1. Token 完全由应用管理，所以它可以避开同源策略
2. Token 可以避免 CSRF 攻击
3. Token 可以是无状态的，可以在多个服务间共享

使用 jwt 来进行 token 的验证

JWT(json web token) 是为了在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准。
JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源。比如用在用户登录上。
JWT 定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。JWT 可以使用 HMAC 算法或者是 RSA 的公钥密钥对进行签名。

header 部分：
jwt 的头部承载两部分信息：
声明类型，这里是 jwt
声明加密的算法 通常使用 HMAC SHA256

{
 "alg": "HS256",
 "typ": "JWT"
}

说明：该字段为 json 格式。alg 字段指定了生成 signature 的算法，默认值为 HS256，typ 默认值为 JWT

payload 部分：
载荷就是存放有效信息的地方。
标准中注册的声明 (不强制使用) ：
iss: jwt 签发者
sub: jwt 所面向的用户
aud: 接收 jwt 的一方
exp: jwt 的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该 jwt 都是不可用的
iat: jwt 的签发时间
jti: jwt 的唯一身份标识，主要用来作为一次性 token, 从而回避重放攻击

{
 "sub": "1234567890",
 "name": "youname",
 "iat": 1516239022
}

说明：该字段为 json 格式，表明用户身份的数据，可以自己自定义字段，很灵活。sub 面向的用户，name 姓名 ,iat 签发时间。例如可自定义示例如下：

{
  "iss": "example",     //该 JWT 的签发者
  "iat": 1535967430,    //签发时间
  "exp": 1535974630,    //过期时间
  "nbf": 1535967430,     //该时间之前不接收处理该 Token
  "sub": "www.example.com",  //面向的用户
  "jti": "9f10e796726e332cec401c569969e13e"  //该 Token 唯一标识
}

signature 部分：
jwt 的第三部分是一个签证信息，这个签证信息由三部分组成：

1. header (base64 后的)
2. payload (base64 后的)
3. secret

HMACSHA256(
 base64UrlEncode(header) + "." +
 base64UrlEncode(payload),
 123456
) 

说明：对 header 和 payload 进行 base64UrlEncode 编码后进行拼接。通过 key（这里是 123456）进行 HS256 算法签名。

php 代码：

<?php
/**
 * PHP_jwt_token
 */
class JwtAuth {

  //头部
  private static $header=array(
    'alg'=>'HS256', //生成 signature 的算法
    'typ'=>'JWT'  //类型
  );

  //使用 HMAC 生成信息摘要时所使用的密钥
  private static $key='example';

  /**
   * 获取 jwt token
   * @param array $payload jwt 载荷  格式如下非必须
   * [
   * 'iss'=>'jwt_admin', //该 JWT 的签发者
   * 'iat'=>time(), //签发时间
   * 'exp'=>time()+7200, //过期时间
   * 'nbf'=>time()+60, //该时间之前不接收处理该 Token
   * 'sub'=>'www.mano100.cn', //面向的用户
   * 'jti'=>md5(uniqid('JWT').time()) //该 Token 唯一标识
   * ]
   * @return bool|string
   */
  public static function getToken(array $payload)
  {
    if(is_array($payload))
    {
      $base64header=self::base64UrlEncode(json_encode(self::$header,JSON_UNESCAPED_UNICODE));
      $base64payload=self::base64UrlEncode(json_encode($payload,JSON_UNESCAPED_UNICODE));
      $token=$base64header.'.'.$base64payload.'.'.self::signature($base64header.'.'.$base64payload,self::$key,self::$header['alg']);
      return $token;
    }else{
      return false;
    }
  }

  /**
   * 验证 token 是否有效, 默认验证 exp,nbf,iat 时间
   * @param string $Token 需要验证的 token
   * @return bool|string
   */
  public static function verifyToken(string $Token)
  {
    $tokens = explode('.', $Token);
    if (count($tokens) != 3)
      return false;

    list($base64header, $base64payload, $sign) = $tokens;

    //获取 jwt 算法
    $base64decodeheader = json_decode(self::base64UrlDecode($base64header), JSON_OBJECT_AS_ARRAY);
    if (empty($base64decodeheader['alg']))
      return false;

    //签名验证
    if (self::signature($base64header . '.' . $base64payload, self::$key, $base64decodeheader['alg']) !== $sign)
      return false;

    $payload = json_decode(self::base64UrlDecode($base64payload), JSON_OBJECT_AS_ARRAY);

    //签发时间大于当前服务器时间验证失败
    if (isset($payload['iat']) && $payload['iat'] > time())
      return false;

    //过期时间小宇当前服务器时间验证失败
    if (isset($payload['exp']) && $payload['exp'] < time())
      return false;

    //该 nbf 时间之前不接收处理该 Token
    if (isset($payload['nbf']) && $payload['nbf'] > time())
      return false;

    return $payload;
  }

  /**
   * base64UrlEncode  https://jwt.io/ 中 base64UrlEncode 编码实现
   * @param string $input 需要编码的字符串
   * @return string
   */
  private static function base64UrlEncode(string $input)
  {
    return str_replace('=', '', strtr(base64_encode($input), '+/', '-_'));
  }

  /**
   * base64UrlEncode https://jwt.io/ 中 base64UrlEncode 解码实现
   * @param string $input 需要解码的字符串
   * @return bool|string
   */
  private static function base64UrlDecode(string $input)
  {
    $remainder = strlen($input) % 4;
    if ($remainder) {
      $addlen = 4 - $remainder;
      $input .= str_repeat('=', $addlen);
    }
    return base64_decode(strtr($input, '-_', '+/'));
  }

  /**
   * HMACSHA256 签名  https://jwt.io/ 中 HMACSHA256 签名实现
   * @param string $input 为 base64UrlEncode(header).".".base64UrlEncode(payload)
   * @param string $key
   * @param string $alg  算法方式
   * @return mixed
   */
  private static function signature(string $input, string $key, string $alg = 'HS256')
  {
    $alg_config=array(
      'HS256'=>'sha256'
    );
    return self::base64UrlEncode(hash_hmac($alg_config[$alg], $input, $key,true));
  }
}

验证方法：

  $token_test=Jwt::getToken($payload_test);
  echo "<pre>";
  echo $token_test;

  //返回的值是一个数组，包含了 payload 信息
  $getPayload_test=Jwt::verifyToken($token_test);
  echo "<br><br>";
  var_dump($getPayload_test);
  echo "<br><br>";