在 Laravel 中验证第三方 JWT 的专业指南

// config/jwt.php

return [
    // ...
    'keys' => [
        'public' => 'file://' . storage_path('jwt/public.pem'),
        'private' => null, // 验证第三方JWT不需要私钥
        'passphrase' => null,
    ],
    'algo' => 'RS256', // 指定签名算法为RS256
    // ...
];

<?php

namespace App\Guard;

use App\Models\User; // 假设您有一个自定义的User模型
use Illuminate\Auth\GuardHelpers;
use Illuminate\Contracts\Auth\Guard;
use Illuminate\Http\Request;
use Tymon\JWTAuth\JWT;

class JWTGuard implements Guard
{
    use GuardHelpers;

    /**
     * @var JWT $jwt
     */
    protected JWT $jwt;

    /**
     * @var Request $request
     */
    protected Request $request;

    /**
     * JWTGuard constructor.
     * @param JWT $jwt
     * @param Request $request
     */
    public function __construct(JWT $jwt, Request $request)
    {
        $this->jwt = $jwt;
        $this->request = $request;
    }

    /**
     * 获取当前认证用户。
     *
     * @return \Illuminate\Contracts\Auth\Authenticatable|null
     */
    public function user()
    {
        if (!is_null($this->user)) {
            return $this->user;
        }

        // 尝试从请求中获取并验证JWT
        if ($this->jwt->setRequest($this->request)->getToken() && $this->jwt->check()) {
            // JWT 验证成功，从载荷中获取用户信息
            $payload = $this->jwt->payload();
            $id = $payload->get('sub'); // 通常 'sub' 声明包含用户唯一标识符

            // 创建一个临时的用户实例。
            // 如果您的用户模型需要更多数据，可以从 $payload 中提取并设置。
            $this->user = new User();
            $this->user->id = $id;
            // 示例：从JWT载荷中设置其他用户属性
            // $this->user->name = $payload->get('name');
            // $this->user->email = $payload->get('email');

            // 可以在此处添加权限（scopes）验证逻辑
            // $scopes = $payload->get('scope', []);
            // if (!in_array('your_required_scope', explode(' ', $scopes))) {
            //     return null; // 权限不足
            // }

            return $this->user;
        }

        return null;
    }

    /**
     * 验证用户凭据（在本场景中不直接使用，JWT本身就是凭据）。
     *
     * @param array $credentials
     * @return bool
     */
    public function validate(array $credentials = [])
    {
        // 对于 JWT Guard，我们通常不通过 credentials 数组进行验证
        // 而是依赖于 user() 方法中对 JWT 的验证
        return false;
    }
}

<?php

namespace App\Models;

use Illuminate\Contracts\Auth\Authenticatable as AuthenticatableContract;
use Illuminate\Database\Eloquent\Model; // 如果您想利用Eloquent特性，可以继承Model

class User extends Model implements AuthenticatableContract
{
    protected $guarded = []; // 允许批量赋值所有字段

    /**
     * 获取用户身份标识符。
     *
     * @return mixed
     */
    public function getAuthIdentifier()
    {
        return $this->id;
    }

    /**
     * 获取用户身份标识符的名称。
     *
     * @return string
     */
    public function getAuthIdentifierName()
    {
        return 'id';
    }

    /**
     * 获取用于存储用户“记住我”令牌的名称。
     *
     * @return string
     */
    public function getRememberTokenName()
    {
        return ''; // 不使用记住我功能
    }

    /**
     * 获取用户“记住我”令牌。
     *
     * @return string|null
     */
    public function getRememberToken()
    {
        return null;
    }

    /**
     * 设置用户“记住我”令牌。
     *
     * @param string $value
     * @return void
     */
    public function setRememberToken($value)
    {
        // 不使用记住我功能
    }

    /**
     * 获取用户密码。
     *
     * @return string
     */
    public function getAuthPassword()
    {
        return ''; // 不通过密码认证
    }
}

// app/Providers/AuthServiceProvider.php

namespace App\Providers;

use App\Guard\JWTGuard; // 引入自定义Guard
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;
use Illuminate\Support\Facades\Gate;

class AuthServiceProvider extends ServiceProvider
{
    /**
     * The policy mappings for the application.
     *
     * @var array
     */
    protected $policies = [
        // 'App\Models\Model' => 'App\Policies\ModelPolicy',
    ];

    /**
     * Register any authentication / authorization services.
     *
     * @return void
     */
    public function boot()
    {
        $this->registerPolicies();

        // 扩展认证系统，注册名为 'jwt-auth' 的 Guard
        $this->app['auth']->extend(
            'jwt-auth',
            function ($app, $name, array $config) {
                $guard = new JWTGuard(
                    $app['tymon.jwt'], // 注入 tymon/jwt-auth 的 JWT 实例
                    $app['request']    // 注入当前请求实例
                );

                // 确保在请求刷新时，Guard 也能更新其内部的请求实例
                $app->refresh('request', $guard, 'setRequest');

                return $guard;
            }
        );
    }
}

// config/auth.php

return [
    'defaults' => [
        'guard' => 'web', // 可以保持为 web，或根据您的应用默认需求修改
        'passwords' => 'users',
    ],

    'guards' => [
        'web' => [
            'driver' => 'session',
            'provider' => 'users',
        ],
        // ... 其他 guards

        'jwt' => [ // 注册一个新的名为 'jwt' 的 guard
            'driver' => 'jwt-auth', // 使用我们刚刚注册的 driver
            'provider' => 'users',  // 指定用户提供者，尽管我们使用自定义User模型，但仍需指定
        ],
    ],

    'providers' => [
        'users' => [
            'driver' => 'eloquent',
            'model' => App\Models\User::class, // 指定您的用户模型
        ],
        // ...
    ],
    // ...
];

// routes/api.php 或其他路由文件

use Illuminate\Support\Facades\Route;
use Illuminate\Support\Facades\Auth;

Route::middleware('auth:jwt')->get('/user', function () {
    // 只有通过 'jwt' Guard 认证的请求才能访问此路由
    return Auth::user();
});

Route::middleware('auth:jwt')->get('/protected-resource', function () {
    // ... 处理受保护的资源
    return response()->json(['message' => '访问受保护资源成功！']);
});