Многостраничная структура Laravel JWT

Итак, есть несколько способов убедиться, что токен JWT доступен везде для Axios или для любого внешнего интерфейса.

Наиболее распространенный способ - сохранить токен либо в печенье, либо в веб-хранилище браузера (localStorage / sessionStorage).

Разница между localStorage и sessionStorage заключается в том, что данные, хранящиеся в localStorage, сохраняются во время сеансов браузера, sessionStorage очищается при завершении сеанса страницы.

По общему мнению, файлы cookie немного более безопасны, поскольку имеют меньший вектор атаки, хотя ни один из методов не является полностью безопасным. Если вы хотите углубиться, вы можете начать с чтения статьи это.

Чтобы получить более конкретную информацию о вашей проблеме, сначала вы хотите настроить хранилище токенов, используя один из методов, описанных выше, рекомендуемый метод - файлы cookie, вы можете найти примеры того, как это сделать с чистым Javascript здесь.

Теперь, когда у вас есть токен на каждой странице, вы можете перенаправить пользователя любым способом. Хотя я бы посоветовал вместо использования вашего собственного промежуточного программного обеспечения для аутентификации JWT вы можете использовать то, которое предоставляет библиотека JWT: jwt.auth.

Это промежуточное ПО будет автоматически отвечать кодами ошибок, если с токеном что-то не так, и если есть, оно вернет один из следующих HTTP-ответов:

• token_not_provided
• token_expired
• token_invalid
• user_not_found

Если возвращается один из этих ответов (или если код состояния запроса равен 400), вы можете просто использовать интерфейс, чтобы перенаправить пользователя обратно на ваши маршруты до авторизации.

При входе в систему после сохранения токена в cookie используйте интерфейс для перенаправления на маршруты после авторизации.

Я знаю, вы сказали, что хотите сохранить логику перенаправления в бэкэнде, но на самом деле это не имеет смысла, когда вы, например, вызываете API при входе в систему, вы не можете одновременно вернуть токен и вызвать перенаправление в то же время только из серверной части.

ОБНОВИТЬ

Очень простой пример того, как вы можете пройти аутентификацию только с охранником и при этом получить токен для API. Заимствуя пример перенаправления из @Ohgodwhy, вы можете поместить следующее в промежуточное ПО RedirectIfAuthenticated.

public function handle($request, Closure $next, $guard = null)
    if (Auth::guard($guard)->check()) {
        if ((\Cookie::get('access_token') == null)) {
            $cookie = \Cookie::make(
                'access_token',
                \JWTAuth::fromUser(Auth::user()),
                config('session.lifetime'),
                null,
                $request->refeerer,
                false, // to make the cookie available in javascript
                false // to make the cookie available in javascript
            );

            return redirect('/home')->cookie($cookie);
        } else {
            return redirect('/home');
        }
    }

    return $next($request);
}

Просто убедитесь, что ваш $redirectTo в app/Http/Controllers/Auth/LoginController.php настроен на путь, реализующий промежуточное ПО RedirectIfAuthenticated.

При успешном входе в систему у вас будет токен, скажем, он называется $jwt_token.

Вы можете перенаправить на защищаемую страницу после авторизации и установить cookie в ответе:

return redirect('/home')->cookie(
    'access_token', //name
    $jwt_token,  //value
    config('session.lifetime'), //expiration in minutes (matches laravel)
    config('app.url'),  // your app url
    true // HttpsOnly
);

Отсюда Axios может получить доступ к cookie путем анализа файлов cookie в документе и получения access_token.

let token = document.cookie.split(';') // get all your cookies
    .find(cookie => cookie.includes('access_token')) // take only the one that matches our access_token name
    .split('=')[1] // get just the value after =

// terrible code example above for you

Теперь вы можете использовать это в своих запросах Axios, добавив его в качестве значения для Bearer в заголовке Authorization:

Authorization: `Bearer ${token}`

Ваше промежуточное ПО JWT уже использует метод authenticate, и поэтому оно должно обрабатывать expiry в его нынешнем виде:

JWTAuth::parseToken()->authenticate();

Под капотом это попытается проверить срок действия токена на основе текущего TTL, установленного в файле config/jwt.php. Учитывая ваш рабочий процесс, я бы также blacklist токен, если он истекает. Вы можете добавить Event Listener, который прослушивает просроченные токены и помещает их в черный список, прослушивая Event::listen('tymon.jwt.expired');.

Пожалуйста, извините за любые синтаксические ошибки, проблемы с форматированием или орфографические ошибки, я на своем телефоне и позже отредактирую их, чтобы их исправить.

Итак, вот логика, которую я реализовал:

В моей функции входа в систему LoginController.php после успешной аутентификации и генерации JWT я возвращаю ответ с Json и новым файлом cookie, оба с переданным новым token:

public function login(Request $request)
{
    $creds = $request->only(['email', 'password']);

    if (!$token = auth()->attempt($creds)) {
        return response()->json([
            'errors' => [
                'root' => 'Incorrect Credentials. Try again'
            ]
        ], 401);
    }

    return $this->respondWithToken($token);
}

protected function respondWithToken($token)
{
    return response()->json([
        'meta' => [
            'access_token' => $token,
            'token_type' => 'bearer',
            'expires_in' => auth()->factory()->getTTL() * 60
        ]
    ], 200)
    ->withCookie(cookie('access_token', $token, auth()->factory()->getTTL()));
}

В моем гостевом промежуточном программном обеспечении RedirectIfAuthenticated проверяется наличие cookie, если он существует, setToken, который, в свою очередь, устанавливает Guard в режим аутентификации и всегда будет перенаправлять на /home, если токен доступен и действителен:

public function handle($request, Closure $next, $guard = null)
{
    if ($request->hasCookie('access_token')) {
        Auth::setToken($request->cookie('access_token'));
    }

    if (Auth::guard($guard)->check()) {
        return redirect('/home');
    }

    return $next($request);
}

И в моем промежуточном программном обеспечении post-auth Routes я также setToken, и, если он действителен и существует, разрешит доступ, в противном случае будет выдан ряд ошибок JWT, которые просто перенаправляют на просмотр до авторизации:

public function handle($request, Closure $next)
{
    JWTAuth::setToken($request->cookie('access_token'))->authenticate();

    return $next($request);
}

Наконец, я решил обработать перенаправление во внешнем интерфейсе, так как я использую Axios, который, как обещано, основан и может гарантировать, что cookie будет установлен перед перенаправлением в режим пост-авторизации, поэтому никаких забавных дел не происходит! Ваше здоровье! Надеюсь, это поможет любому на пути к магии многостраничного СПА!