API 開發(fā)中可選擇傳遞 token 接口遇到的一個坑

siberiawolf 發(fā)布于2019-07-01 10:11 / 1301人閱讀

摘要：此處做刷新處理具體代碼可以參考必須需要登錄驗證的接口在響應(yīng)頭中返回新的問題解決。

在做 API 開發(fā)時，不可避免會涉及到登錄驗證，我使用的是jwt-auth

在登錄中會經(jīng)常遇到一個token過期的問題，在config/jwt.php默認(rèn)設(shè)置中，這個過期時間是一個小時，不過為了安全也可以設(shè)置更小一點，我設(shè)置了為五分鐘。

五分鐘過期，如果就讓用戶去登錄，這種體驗會讓用戶直接拋棄你的網(wǎng)站，所以這就會使用到刷新token這個功能

正常情況下是寫一個刷新token的接口，當(dāng)過期的時候前端把過期的token帶上請求這個接口換取新的token

不過為了方便前端也可以使用后端刷新返回，直至不可刷新，我用的就是這個方法：使用 Jwt-Auth 實現(xiàn) API 用戶認(rèn)證以及無痛刷新訪問令牌

而坑就是這樣來的，

在必須需要登錄驗證的接口設(shè)置刷新token

checkForToken($request);

        try {
            /****************************************
             * 嘗試通過 tokne 登錄，如果正常，就獲取到用戶
             * 無法正確的登錄，拋出 token 異常
             ****************************************/
            if ($this->auth->parseToken()->authenticate()) {
                return $next($request);
            }
            throw new UnauthorizedHttpException("jwt-auth", "User not found");

        } catch (TokenExpiredException $e) {
            try {
                /****************************************
                 * token 過期的異常，嘗試刷新 token
                 * 使用 id 一次性登錄以保證此次請求的成功
                 ****************************************/
                $token = $this->auth->refresh();
                $id = $this->auth
                    ->manager()
                    ->getPayloadFactory()
                    ->buildClaimsCollection()
                    ->toPlainArray()["sub"];

                auth()->onceUsingId($id);
            } catch (JWTException $e) {
                /****************************************
                 * 如果捕獲到此異常，即代表 refresh 也過期了，
                 * 用戶無法刷新令牌，需要重新登錄。
                 ****************************************/
                throw new UnauthorizedHttpException("jwt-auth", $e->getMessage(), null, StatusServe::HTTP_PAYMENT_REQUIRED);
            }
        }

        // 在響應(yīng)頭中返回新的 token
        return $this->setAuthenticationHeader($next($request), $token);
    }
}

而有些頁面，比如文章列表頁面，這個接口登錄與不登錄皆可訪問，不過登錄的時候可以在頁面上顯示是否點贊了這篇文章。所以這個接口直接使用的是jwt-auth默認(rèn)的option中間件


 *
 * For the full copyright and license information, please view the LICENSE
 * file that was distributed with this source code.
 */

namespace TymonJWTAuthHttpMiddleware;

use Closure;
use Exception;

class Check extends BaseMiddleware
{
    /**
     * Handle an incoming request.
     *
     * @param  IlluminateHttpRequest  $request
     * @param  Closure  $next
     *
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        if ($this->auth->parser()->setRequest($request)->hasToken()) {
            try {
                $this->auth->parseToken()->authenticate();
            } catch (Exception $e) {


            }

        }

        return $next($request);
    }
}

一開始也沒有發(fā)現(xiàn)問題，直到測試的時候，發(fā)現(xiàn)文章列表頁面點贊過的文章，過了一段時間再刷新的時候發(fā)現(xiàn)不顯示已點贊，但是進(jìn)入個人中心的已點贊文章可以看到。

剛開始測試沒找出原因，直接暴力調(diào)試代碼，發(fā)現(xiàn)沒獲取到登錄用戶，一想不對呀，已經(jīng)傳token為何獲取不到。經(jīng)過發(fā)現(xiàn)，去到個人中心，再回到新聞列表頁就可以正常顯示，過了一段時間又不顯示了。

經(jīng)過這一輪之后，大概明白，在新聞列表頁時，token已經(jīng)過期，但是當(dāng)時圖方便用的jwt-auth默認(rèn)的中間件，不會刷新token，所以這個接口獲取不到登錄的用戶。當(dāng)進(jìn)入個人中心，發(fā)現(xiàn)當(dāng)前token已經(jīng)過期，后臺刷新token返回，這時候再回到文章列表頁就可以得到正常的數(shù)據(jù)，一段時間后，token又失效了，所以有無法看到點贊過的文章

解決方法，自己寫一個option中間件，當(dāng)存在token的時候，也需要做token刷新處理。

auth->parser()->setRequest($request)->hasToken()) {
            try {
                $this->auth->parseToken()->authenticate();
            } catch (TokenExpiredException $e) {
                // 此處做刷新 token 處理
                // 具體代碼可以參考必須需要登錄驗證的接口
                // 在響應(yīng)頭中返回新的 token
                return $this->setAuthenticationHeader($next($request), $token);
            } catch (Exception $e) {
            
            }

        }

        return $next($request);
    }
}

問題解決。
最后說一個并發(fā)會出現(xiàn)的問題：

# 當(dāng)前 token_1 過期，先發(fā)起 a 請求，之后馬上發(fā)起 b 請求
# a 請求到服務(wù)器，服務(wù)器判斷過期，刷新 token_1
# 之后返回 token_2 給 a 請求響應(yīng)
# 這時候遲一點的 b 請求用的還是 token_1 
# 服務(wù)器已經(jīng)將此 token_1 加入黑名單，所以 b 請求無效
       token_1         刷新返回 token_2
a 請求 --------> server -------> 成功
       token_1         過期的 token_1，應(yīng)該使用 token_2
b 請求 --------> server ------> 失敗

jwt-auth已經(jīng)想到這種情況，我們只需要設(shè)置一個黑名單寬限時間即可

我設(shè)置為5秒，就是當(dāng)token_1過期了，你還能繼續(xù)使用token_1操作5秒時間

原文地址

云服務(wù)器 GPU云服務(wù)器 api接口token驗證 php開發(fā)api接口的實例代碼 php開發(fā)遇到的難點 api開發(fā)接口

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://specialneedsforspecialkids.com/yun/28900.html

發(fā)表評論

登陸后可評論

0條評論

siberiawolf

男|高級講師

我要關(guān)注我要私信

TA的文章

V5.net Server 韓國獨立服務(wù)器，7折終身優(yōu)惠，CN2+BGP網(wǎng)絡(luò)，436元/月，2*E

閱讀 2761·2021-09-24 10:34
用Python畫小人發(fā)射愛心，還有彈窗設(shè)計哦！

閱讀 1862·2021-09-22 10:02
手撕大廠出現(xiàn)的過的一些筆試題---------動態(tài)內(nèi)存函數(shù)題

閱讀 2253·2021-09-09 09:33
DiyVM：50元/月-雙核,2G內(nèi)存,50G硬盤,2M,香港CN2機(jī)房

閱讀 1459·2021-08-13 15:02
Serverless容器實例Cube的研發(fā)實踐之路

閱讀 3270·2020-12-03 17:10
移動端兼容問題總結(jié)(3)

閱讀 1180·2019-08-30 15:44
CSS 三角形繪制方法

閱讀 2144·2019-08-30 12:58
你還沒有聽過React不完全手冊？

閱讀 3229·2019-08-26 13:40

国产xxxx99真实实拍_久久不雅视频_高清韩国a级特黄毛片_嗯老师别我我受不了了小说

資訊專欄INFORMATION COLUMN

上云采購季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺、長期優(yōu)惠，快來選購！

API 開發(fā)中可選擇傳遞 token 接口遇到的一個坑

相關(guān)文章

**使用 vue2.0 開發(fā)微信公眾號下前后端分離的SPA站點的填坑之旅**

**使用 vue2.0 開發(fā)微信公眾號下前后端分離的SPA站點的填坑之旅**

thinkphp3.2，微信JS-SDK開發(fā)過程中遇到的各種問題與細(xì)節(jié)分享

分享一下這兩周爬微信支付的坑~希望有借鑒作用（PHP）

**node微信后臺開發(fā)初探**

發(fā)表評論

0條評論

siberiawolf

男|高級講師

TA的文章

V5.net Server 韓國獨立服務(wù)器，7折終身優(yōu)惠，CN2+BGP網(wǎng)絡(luò)，436元/月，2*E

用Python畫小人發(fā)射愛心，還有彈窗設(shè)計哦！

手撕大廠出現(xiàn)的過的一些筆試題---------動態(tài)內(nèi)存函數(shù)題

DiyVM：50元/月-雙核,2G內(nèi)存,50G硬盤,2M,香港CN2機(jī)房

Serverless容器實例Cube的研發(fā)實踐之路

移動端兼容問題總結(jié)(3)

CSS 三角形繪制方法

你還沒有聽過React不完全手冊？

最新活動

資訊專欄INFORMATION COLUMN

上云采購季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺、長期優(yōu)惠，快來選購！

API 開發(fā)中可選擇傳遞 token 接口遇到的一個坑

相關(guān)文章

發(fā)表評論

0條評論

男|高級講師

TA的文章

最新活動

上云采購季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺、長期優(yōu)惠，快來選購！