pathinfo(), $this->router_white_list)) {
$token = $request->header('token');
try {
// jwt 验证
$jwt = (new JwtService())->chekToken($token);
} catch (Throwable $e) {
return json([
'code' => ResponseCode::ERROR,
'msg' => 'Token验证失败'
]);
}
$request->user = $jwt->user;
}
return $next($request);
}
}
认识JWT
JSON Web Token (JWT)就是个验证用户的利器，它会在你登入账号成功时给你一个授权密码，也就是令牌(token)。然后你每次发邮件给服务器前，都得带着这个令牌去认领你的身份。这个token分为三块：头儿（Header）、货儿（Payload）和签子（Signature）。头儿那个地方就记着令牌的各种信息，比如种类加密方式之类的；至于货儿，那里面就是一些更详细的数据，像是咱们的用户 ID，有效期多长等等，这些都是跟咱们的账号直接相关的内容；最后的签子，顾名思义，就是用来保证 token 的完整性的。
JWT有个好处就是服务器不用记你啥时候登录过，只要给你发个令牌就行了。这样，用在分系统多的环境下也不怕，服务器轻松不少！而且，无论前后台系统，JWT都能跨境穿梭，方便得很。
想完成JWT登录认证，只需要按照这个步骤来就行啦：首先，当用户成功登录，服务器会产生个JWT，然后发送给客户端；接下来，客户端在下一次发请求时把这个JWT带上；最后，服务器会检查JWT是不是真的有效，然后完成相应的操作。这样就能确保我们的登录系统既安全又靠谱！
JWT与Session对比
为啥有时候要用JWT代替老旧的Session？原因，主要有三点。首先，我们说的是分散式的系统这就涉及到跨机器共享状态的问题了。而这个时候，JWT的无状态和独立性优势就能凸显出来了。接着说说第二个原因，用Session的话得让服务器来记录这些会话信息，这样就得花费更多的资源！但是，JWT的话可以让客户自己保存，就省去了服务器的麻烦事。最后来说说当前后端分开开发时，这时候Session就有点力不从心了，但JWT就挺合适的。
值得注意的是，在安全问题上，虽然Session多了个防盗号功能（CSRF 防御能力强），但可能也存在些隐患。相比之下，使用JWT不仅能更好地防止 CSFR 攻击，还能优化网站维护，提高安全性。所以说，在权衡安全性与扩容性的抉择中，选用 JWT 无疑是比较明智的决定！
实战演示录音
下面就来亲身给你体验一下吧!通过这个实例教程，让你更加清楚地知道怎么用JWT来做登录认证。我们会教你生成、校验、处理JWT令牌的全过程。这样一来，你就能更轻松地上手，理解并掌握JWT的基本原理以及可用场合。
原理剖析
咱试试深入了解下JWT登陆认证是咋回事，搞清楚了这个可是对你编程有好处。听我说当你做完登陆，就是你注册成功那会儿，服务器会生成一个装有你信息还有其他一些东东的PAYLOAD。再用个特定的算法搞个签名出来。接着把HEADER跟这个PAYLOAD和签名放到一起，组成了个全新的JWT，就像是做菜的调料齐全，然后就把这个回传给你那个机子（客户端）。然后每次请求的时候，你的机子就带着这个JWT一起来，就像服务员带着菜单去点餐那样，通过验签来检查这个登陆凭证是否有用。
对称加密和非对称加密，就是用来制作签名对称加密用同一把钥匙就能完成加密和解密；非对称加密就不一样了，它是用公开的钥匙加密，然后用秘密的钥匙解密。搞懂这两种加密方法，开发小伙伴们就能选出最适合项目需求的安全策略。
实际应用
大家知道吗？在用Java Web Token（JWT）做身份验证时，细节很关键！首先，我们得确保从用户登录成功开始就生成了适当的JWT，里面还包括了必要的资料和过期时间这些参数；然后，别忘了在客户端保存和传输JWT的时候要留个心眼儿，防止XSS攻击这类安全问题；最后，在服务器端对待JWT的时候，还要保证运用的算法对头，密钥也不能泄露！
处理权限啊、更新令牌啦、退出登陆这些事儿可得想清楚了，根据实际情况来设计。多试试、多总结经验，咱们就能更好地用好JWT来验证身份。
初学者与经验开发者
不论新手还是老鸟，学 JWT 都能大有收获！新手看看这篇文章就能学到新的认证方法，还有实际操作演示帮助你快速入门。老鸟们也别错过这个机会，深入研究下 JWT 的原理，还能帮你们优化现有的项目认证机制！
总的来说，学懂JWT登陆验证这门儿技术对我们这些搞开发的人实在太重要！不光能让你们的系统更安全，也更容易扩展，还帮你们省事儿不少，别提多方便。
评论0