Laravel 5.5 使用 Jwt-Auth 实现 API 用户认证以及无痛刷新访问令牌

最近在做一个公司的项目，前端使用 Vue.js，后端使用 Laravel 构建 Api 服务，用户认证的包本来是想用 Laravel Passport的，但是感觉有点麻烦，于是使用了 jwt-auth 。

安装

jwt-auth 最新版本是 1.0.0 rc.1 版本，已经支持了 Laravel 5.5。如果你使用的是 Laravel 5.5 版本，可以使用如下命令安装。根据评论区 @tradzero 兄弟的建议，如果你是 Laravel 5.5 以下版本，也推荐使用最新版本，RC.1 前的版本都存在多用户token认证的安全问题。

$ composer require tymon/jwt-auth <span class="hljs-number">1.0</span><span class="hljs-number">.0</span>-rc<span class="hljs-number">.1</span>

1	$ composer require tymon/jwt-auth <span class="hljs-number">1.0</span><span class="hljs-number">.0</span>-rc<span class="hljs-number">.1</span>

配置

添加服务提供商

将下面这行添加至 config/app.php 文件 providers 数组中：

app.php

<span class="hljs-string">'providers'</span> =&gt; [

    ...

    Tymon\JWTAuth\Providers\LaravelServiceProvider::<span class="hljs-class"><span class="hljs-keyword">class</span>,</span>
]

'providers' => [

...

Tymon\JWTAuth\Providers\LaravelServiceProvider::class,

]

发布配置文件

在你的 shell 中运行如下命令发布 jwt-auth 的配置文件：

shell

$ php artisan vendor:publish --provider="Tymon<span class="hljs-symbol">\J</span>WTAuth<span class="hljs-symbol">\P</span>roviders<span class="hljs-symbol">\L</span>aravelServiceProvider"

1	$ php artisan vendor:publish --provider="Tymon<span class="hljs-symbol">\J</span>WTAuth<span class="hljs-symbol">\P</span>roviders<span class="hljs-symbol">\L</span>aravelServiceProvider"

此命令会在 config 目录下生成一个 jwt.php 配置文件，你可以在此进行自定义配置。

生成密钥

jwt-auth 已经预先定义好了一个 Artisan 命令方便你生成 Secret，你只需要在你的 shell 中运行如下命令即可：

shell

<span class="hljs-variable">$ </span>php artisan <span class="hljs-symbol">jwt:</span>secret

1	<span class="hljs-variable">$ </span>php artisan <span class="hljs-symbol">jwt:</span>secret

此命令会在你的 .env 文件中新增一行 JWT_SECRET=secret。

配置 Auth guard

在 config/auth.php 文件中，你需要将 guards/driver 更新为 jwt：

auth.php

<span class="hljs-string">'defaults'</span> =&gt; [
    <span class="hljs-string">'guard'</span> =&gt; <span class="hljs-string">'api'</span>,
    <span class="hljs-string">'passwords'</span> =&gt; <span class="hljs-string">'users'</span>,
],

...

<span class="hljs-string">'guards'</span> =&gt; [
    <span class="hljs-string">'api'</span> =&gt; [
        <span class="hljs-string">'driver'</span> =&gt; <span class="hljs-string">'jwt'</span>,
        <span class="hljs-string">'provider'</span> =&gt; <span class="hljs-string">'users'</span>,
    ],
],

'defaults' => [

'guard' => 'api',

'passwords' => 'users',

...

'guards' => [

'api' => [

'driver' => 'jwt',

'provider' => 'users',

只有在使用 Laravel 5.2 及以上版本的情况下才能使用。

更改 Model

如果需要使用 jwt-auth 作为用户认证，我们需要对我们的 User 模型进行一点小小的改变，实现一个接口，变更后的 User模型如下：

User.php

<span class="php"><span class="hljs-meta">&lt;?php</span>

<span class="hljs-keyword">namespace</span> <span class="hljs-title">App</span>;

<span class="hljs-keyword">use</span> <span class="hljs-title">Tymon</span>\<span class="hljs-title">JWTAuth</span>\<span class="hljs-title">Contracts</span>\<span class="hljs-title">JWTSubject</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Notifications</span>\<span class="hljs-title">Notifiable</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Foundation</span>\<span class="hljs-title">Auth</span>\<span class="hljs-title">User</span> <span class="hljs-title">as</span> <span class="hljs-title">Authenticatable</span>;

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">User</span> <span class="hljs-keyword">extends</span> <span class="hljs-title">Authenticatable</span> <span class="hljs-keyword">implements</span> <span class="hljs-title">JWTSubject</span>
</span>{
    <span class="hljs-keyword">use</span> <span class="hljs-title">Notifiable</span>;

    <span class="hljs-comment">// Rest omitted for brevity</span>

    <span class="hljs-comment">/**
     * Get the identifier that will be stored in the subject claim of the JWT.
     *
     * <span class="hljs-doctag">@return</span> mixed
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">getJWTIdentifier</span><span class="hljs-params">()</span>
    </span>{
        <span class="hljs-keyword">return</span> <span class="hljs-keyword">$this</span>-&gt;getKey();
    }

    <span class="hljs-comment">/**
     * Return a key value array, containing any custom claims to be added to the JWT.
     *
     * <span class="hljs-doctag">@return</span> array
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">getJWTCustomClaims</span><span class="hljs-params">()</span>
    </span>{
        <span class="hljs-keyword">return</span> [];
    }
}</span>

<?php

namespace App;

use Tymon\JWTAuth\Contracts\JWTSubject;

use Illuminate\Notifications\Notifiable;

use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable implements JWTSubject

{

use Notifiable;

// Rest omitted for brevity

/**

* Get the identifier that will be stored in the subject claim of the JWT.

* @return mixed

*/

public function getJWTIdentifier()

{

return $this->getKey();

}

/**

* Return a key value array, containing any custom claims to be added to the JWT.

* @return array

*/

public function getJWTCustomClaims()

{

return [];

}

}

配置项详解

jwt.php

&lt;?php

return [

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| JWT Authentication Secret</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 用于加密生成 token 的 secret</span>
    <span class="hljs-string">|</span>
    */

    'secret' =&gt; env('JWT_SECRET'),

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| JWT Authentication Keys</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 如果你在 .env 文件中定义了 JWT_SECRET 的随机字符串</span>
    <span class="hljs-string">| 那么 jwt 将会使用 对称算法 来生成 token</span>
    <span class="hljs-string">| 如果你没有定有，那么jwt 将会使用如下配置的公钥和私钥来生成 token</span>
    <span class="hljs-string">|</span>
    */

    'keys' =&gt; [

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| Public Key</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 公钥</span>
        <span class="hljs-string">|</span>
        */

        'public' =&gt; env('JWT_PUBLIC_KEY'),

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| Private Key</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 私钥</span>
        <span class="hljs-string">|</span>
        */

        'private' =&gt; env('JWT_PRIVATE_KEY'),

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| Passphrase</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 私钥的密码。 如果没有设置，可以为 null。</span>
        <span class="hljs-string">|</span>
        */

        'passphrase' =&gt; env('JWT_PASSPHRASE'),

    ],

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| JWT time to live</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定 access_token 有效的时间长度（以分钟为单位），默认为1小时，您也可以将其设置为空，以产生永不过期的标记</span>
    <span class="hljs-string">|</span>
    */

    'ttl' =&gt; env('JWT_TTL', <span class="hljs-number">60</span>),

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| Refresh time to live</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定 access_token 可刷新的时间长度（以分钟为单位）。默认的时间为 2 周。</span>
    <span class="hljs-string">| 大概意思就是如果用户有一个 access_token，那么他可以带着他的 access_token </span>
    <span class="hljs-string">| 过来领取新的 access_token，直到 2 周的时间后，他便无法继续刷新了，需要重新登录。</span>
    <span class="hljs-string">|</span>
    */

    'refresh_ttl' =&gt; env('JWT_REFRESH_TTL', <span class="hljs-number">20160</span>),

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| JWT hashing algorithm</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定将用于对令牌进行签名的散列算法。</span>
    <span class="hljs-string">|</span>
    */

    'algo' =&gt; env('JWT_ALGO', 'HS256'),

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| Required Claims</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定必须存在于任何令牌中的声明。</span>
    <span class="hljs-string">| </span>
    <span class="hljs-string">|</span>
    */

    'required_claims' =&gt; [
        'iss',
        'iat',
        'exp',
        'nbf',
        'sub',
        'jti',
    ],

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| Persistent Claims</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定在刷新令牌时要保留的声明密钥。</span>
    <span class="hljs-string">|</span>
    */

    'persistent_claims' =&gt; [
        <span class="hljs-comment">// 'foo',</span>
        <span class="hljs-comment">// 'bar',</span>
    ],

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| Blacklist Enabled</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 为了使令牌无效，您必须启用黑名单。</span>
    <span class="hljs-string">| 如果您不想或不需要此功能，请将其设置为 false。</span>
    <span class="hljs-string">|</span>
    */

    'blacklist_enabled' =&gt; env('JWT_BLACKLIST_ENABLED', true),

    /*
    <span class="hljs-string">| -------------------------------------------------------------------------</span>
    <span class="hljs-string">| Blacklist Grace Period</span>
    <span class="hljs-string">| -------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 当多个并发请求使用相同的JWT进行时，</span>
    <span class="hljs-string">| 由于 access_token 的刷新 ，其中一些可能会失败</span>
    <span class="hljs-string">| 以秒为单位设置请求时间以防止并发的请求失败。</span>
    <span class="hljs-string">|</span>
    */

    'blacklist_grace_period' =&gt; env('JWT_BLACKLIST_GRACE_PERIOD', <span class="hljs-number">0</span>),

    /*
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">| Providers</span>
    <span class="hljs-string">|--------------------------------------------------------------------------</span>
    <span class="hljs-string">|</span>
    <span class="hljs-string">| 指定整个包中使用的各种提供程序。</span>
    <span class="hljs-string">|</span>
    */

    'providers' =&gt; [

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| JWT Provider</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 指定用于创建和解码令牌的提供程序。</span>
        <span class="hljs-string">|</span>
        */

        'jwt' =&gt; Tymon\JWTAuth\Providers\JWT\Namshi::class,

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| Authentication Provider</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 指定用于对用户进行身份验证的提供程序。</span>
        <span class="hljs-string">|</span>
        */

        'auth' =&gt; Tymon\JWTAuth\Providers\Auth\Illuminate::class,

        /*
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">| Storage Provider</span>
        <span class="hljs-string">|--------------------------------------------------------------------------</span>
        <span class="hljs-string">|</span>
        <span class="hljs-string">| 指定用于在黑名单中存储标记的提供程序。</span>
        <span class="hljs-string">|</span>
        */

        'storage' =&gt; Tymon\JWTAuth\Providers\Storage\Illuminate::class,

    ],

];

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

<?php

return [

|--------------------------------------------------------------------------

| JWT Authentication Secret

|--------------------------------------------------------------------------

|

| 用于加密生成 token 的 secret

|

'secret' => env('JWT_SECRET'),

|--------------------------------------------------------------------------

| JWT Authentication Keys

|--------------------------------------------------------------------------

|

| 如果你在 .env 文件中定义了 JWT_SECRET 的随机字符串

| 那么 jwt 将会使用对称算法来生成 token

| 如果你没有定有，那么jwt 将会使用如下配置的公钥和私钥来生成 token

|

'keys' => [

|--------------------------------------------------------------------------

| Public Key

|--------------------------------------------------------------------------

|

| 公钥

|

'public' => env('JWT_PUBLIC_KEY'),

|--------------------------------------------------------------------------

| Private Key

|--------------------------------------------------------------------------

|

| 私钥

|

'private' => env('JWT_PRIVATE_KEY'),

|--------------------------------------------------------------------------

| Passphrase

|--------------------------------------------------------------------------

|

| 私钥的密码。如果没有设置，可以为 null。

|

'passphrase' => env('JWT_PASSPHRASE'),

|--------------------------------------------------------------------------

| JWT time to live

|--------------------------------------------------------------------------

|

| 指定 access_token 有效的时间长度（以分钟为单位），默认为1小时，您也可以将其设置为空，以产生永不过期的标记

|

'ttl' => env('JWT_TTL', 60),

|--------------------------------------------------------------------------

| Refresh time to live

|--------------------------------------------------------------------------

|

| 指定 access_token 可刷新的时间长度（以分钟为单位）。默认的时间为 2 周。

| 大概意思就是如果用户有一个 access_token，那么他可以带着他的 access_token

| 过来领取新的 access_token，直到 2 周的时间后，他便无法继续刷新了，需要重新登录。

|

'refresh_ttl' => env('JWT_REFRESH_TTL', 20160),

|--------------------------------------------------------------------------

| JWT hashing algorithm

|--------------------------------------------------------------------------

|

| 指定将用于对令牌进行签名的散列算法。

|

'algo' => env('JWT_ALGO', 'HS256'),

|--------------------------------------------------------------------------

| Required Claims

|--------------------------------------------------------------------------

|

| 指定必须存在于任何令牌中的声明。

|

|

'required_claims' => [

'iss',

'iat',

'exp',

'nbf',

'sub',

'jti',

|--------------------------------------------------------------------------

| Persistent Claims

|--------------------------------------------------------------------------

|

| 指定在刷新令牌时要保留的声明密钥。

|

'persistent_claims' => [

// 'foo',

// 'bar',

|--------------------------------------------------------------------------

| Blacklist Enabled

|--------------------------------------------------------------------------

|

| 为了使令牌无效，您必须启用黑名单。

| 如果您不想或不需要此功能，请将其设置为 false。

|

'blacklist_enabled' => env('JWT_BLACKLIST_ENABLED', true),

| -------------------------------------------------------------------------

| Blacklist Grace Period

| -------------------------------------------------------------------------

|

| 当多个并发请求使用相同的JWT进行时，

| 由于 access_token 的刷新，其中一些可能会失败

| 以秒为单位设置请求时间以防止并发的请求失败。

|

'blacklist_grace_period' => env('JWT_BLACKLIST_GRACE_PERIOD', 0),

|--------------------------------------------------------------------------

| Providers

|--------------------------------------------------------------------------

|

| 指定整个包中使用的各种提供程序。

|

'providers' => [

|--------------------------------------------------------------------------

| JWT Provider

|--------------------------------------------------------------------------

|

| 指定用于创建和解码令牌的提供程序。

|

'jwt' => Tymon\JWTAuth\Providers\JWT\Namshi::class,

|--------------------------------------------------------------------------

| Authentication Provider

|--------------------------------------------------------------------------

|

| 指定用于对用户进行身份验证的提供程序。

|

'auth' => Tymon\JWTAuth\Providers\Auth\Illuminate::class,

|--------------------------------------------------------------------------

| Storage Provider

|--------------------------------------------------------------------------

|

| 指定用于在黑名单中存储标记的提供程序。

|

'storage' => Tymon\JWTAuth\Providers\Storage\Illuminate::class,

];

自定义认证中间件

先来说明一下我想要达成的效果，我希望用户提供账号密码前来登录。如果登录成功，那么我会给前端颁发一个 access _token ，设置在 header 中以请求需要用户认证的路由。

同时我希望如果用户的令牌如果过期了，可以暂时通过此次请求，并在此次请求中刷新该用户的 access _token，最后在响应头中将新的 access _token 返回给前端，这样子可以无痛的刷新 access _token ，用户可以获得一个很良好的体验，所以开始动手写代码。

执行如下命令以新建一个中间件：

<span class="hljs-selector-tag">php</span> <span class="hljs-selector-tag">artisan</span> <span class="hljs-selector-tag">make</span><span class="hljs-selector-pseudo">:middleware</span> <span class="hljs-selector-tag">RefreshToken</span>

1	<span class="hljs-selector-tag">php</span> <span class="hljs-selector-tag">artisan</span> <span class="hljs-selector-tag">make</span><span class="hljs-selector-pseudo">:middleware</span> <span class="hljs-selector-tag">RefreshToken</span>

中间件代码如下：

RefreshToken.php

<span class="php"><span class="hljs-meta">&lt;?php</span>

<span class="hljs-keyword">namespace</span> <span class="hljs-title">App</span>\<span class="hljs-title">Http</span>\<span class="hljs-title">Middleware</span>;

<span class="hljs-keyword">use</span> <span class="hljs-title">Auth</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Closure</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Tymon</span>\<span class="hljs-title">JWTAuth</span>\<span class="hljs-title">Exceptions</span>\<span class="hljs-title">JWTException</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Tymon</span>\<span class="hljs-title">JWTAuth</span>\<span class="hljs-title">Http</span>\<span class="hljs-title">Middleware</span>\<span class="hljs-title">BaseMiddleware</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Tymon</span>\<span class="hljs-title">JWTAuth</span>\<span class="hljs-title">Exceptions</span>\<span class="hljs-title">TokenExpiredException</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Symfony</span>\<span class="hljs-title">Component</span>\<span class="hljs-title">HttpKernel</span>\<span class="hljs-title">Exception</span>\<span class="hljs-title">UnauthorizedHttpException</span>;

<span class="hljs-comment">// 注意，我们要继承的是 jwt 的 BaseMiddleware</span>
<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">RefreshToken</span> <span class="hljs-keyword">extends</span> <span class="hljs-title">BaseMiddleware</span>
</span>{
    <span class="hljs-comment">/**
     * Handle an incoming request.
     *
     * <span class="hljs-doctag">@param</span>  \Illuminate\Http\Request $request
     * <span class="hljs-doctag">@param</span>  \Closure $next
     *
     * <span class="hljs-doctag">@throws</span> \Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException
     *
     * <span class="hljs-doctag">@return</span> mixed
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">handle</span><span class="hljs-params">($request, Closure $next)</span>
    </span>{
        <span class="hljs-comment">// 检查此次请求中是否带有 token，如果没有则抛出异常。 </span>
        <span class="hljs-keyword">$this</span>-&gt;checkForToken($request);

       <span class="hljs-comment">// 使用 try 包裹，以捕捉 token 过期所抛出的 TokenExpiredException  异常</span>
        <span class="hljs-keyword">try</span> {
            <span class="hljs-comment">// 检测用户的登录状态，如果正常则通过</span>
            <span class="hljs-keyword">if</span> (<span class="hljs-keyword">$this</span>-&gt;auth-&gt;parseToken()-&gt;authenticate()) {
                <span class="hljs-keyword">return</span> $next($request);
            }
            <span class="hljs-keyword">throw</span> <span class="hljs-keyword">new</span> UnauthorizedHttpException(<span class="hljs-string">'jwt-auth'</span>, <span class="hljs-string">'未登录'</span>);
        } <span class="hljs-keyword">catch</span> (TokenExpiredException $exception) {
          <span class="hljs-comment">// 此处捕获到了 token 过期所抛出的 TokenExpiredException 异常，我们在这里需要做的是刷新该用户的 token 并将它添加到响应头中</span>
            <span class="hljs-keyword">try</span> {
                <span class="hljs-comment">// 刷新用户的 token</span>
                $token = <span class="hljs-keyword">$this</span>-&gt;auth-&gt;refresh();
               <span class="hljs-comment">// 使用一次性登录以保证此次请求的成功</span>
                Auth::guard(<span class="hljs-string">'api'</span>)-&gt;onceUsingId(<span class="hljs-keyword">$this</span>-&gt;auth-&gt;manager()-&gt;getPayloadFactory()-&gt;buildClaimsCollection()-&gt;toPlainArray()[<span class="hljs-string">'sub'</span>]);
            } <span class="hljs-keyword">catch</span> (JWTException $exception) {
               <span class="hljs-comment">// 如果捕获到此异常，即代表 refresh 也过期了，用户无法刷新令牌，需要重新登录。</span>
                <span class="hljs-keyword">throw</span> <span class="hljs-keyword">new</span> UnauthorizedHttpException(<span class="hljs-string">'jwt-auth'</span>, $exception-&gt;getMessage());
            }
        }
        
        <span class="hljs-comment">// 在响应头中返回新的 token</span>
        <span class="hljs-keyword">return</span> <span class="hljs-keyword">$this</span>-&gt;setAuthenticationHeader($next($request), $token);
    }
}
</span>

<?php

namespace App\Http\Middleware;

use Auth;

use Closure;

use Tymon\JWTAuth\Exceptions\JWTException;

use Tymon\JWTAuth\Http\Middleware\BaseMiddleware;

use Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException;

// 注意，我们要继承的是 jwt 的 BaseMiddleware

class RefreshToken extends BaseMiddleware

{

/**

* Handle an incoming request.

* @param \Illuminate\Http\Request $request

* @param \Closure $next

* @throws \Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException

* @return mixed

*/

public function handle($request, Closure $next)

{

// 检查此次请求中是否带有 token，如果没有则抛出异常。

$this->checkForToken($request);

// 使用 try 包裹，以捕捉 token 过期所抛出的 TokenExpiredException 异常

try {

// 检测用户的登录状态，如果正常则通过

if ($this->auth->parseToken()->authenticate()) {

return $next($request);

}

throw new UnauthorizedHttpException('jwt-auth', '未登录');

} catch (TokenExpiredException $exception) {

// 此处捕获到了 token 过期所抛出的 TokenExpiredException 异常，我们在这里需要做的是刷新该用户的 token 并将它添加到响应头中

try {

// 刷新用户的 token

$token = $this->auth->refresh();

// 使用一次性登录以保证此次请求的成功

Auth::guard('api')->onceUsingId($this->auth->manager()->getPayloadFactory()->buildClaimsCollection()->toPlainArray()['sub']);

} catch (JWTException $exception) {

// 如果捕获到此异常，即代表 refresh 也过期了，用户无法刷新令牌，需要重新登录。

throw new UnauthorizedHttpException('jwt-auth', $exception->getMessage());

}

// 在响应头中返回新的 token

return $this->setAuthenticationHeader($next($request), $token);

}

设置 Axios 拦截器

我选用的 HTTP 请求套件是 axios。为了达到无痛刷新 token 的效果，我们需要对 axios 定义一个拦截器，用以接收我们刷新的 Token，代码如下：

app.js

<span class="hljs-keyword">import</span> Vue <span class="hljs-keyword">from</span> <span class="hljs-string">'vue'</span>
<span class="hljs-keyword">import</span> router <span class="hljs-keyword">from</span> <span class="hljs-string">'./router'</span>
<span class="hljs-keyword">import</span> store <span class="hljs-keyword">from</span> <span class="hljs-string">'./store'</span>
<span class="hljs-keyword">import</span> iView <span class="hljs-keyword">from</span> <span class="hljs-string">'iview'</span>
<span class="hljs-keyword">import</span> <span class="hljs-string">'iview/dist/styles/iview.css'</span>

Vue.use(iView)


<span class="hljs-keyword">new</span> Vue({
    el: <span class="hljs-string">'#app'</span>,
    router,
    store,
    created() {
        <span class="hljs-comment">// 自定义的 axios 响应拦截器</span>
        <span class="hljs-keyword">this</span>.$axios.interceptors.response.use(<span class="hljs-function">(<span class="hljs-params">response</span>) =&gt;</span> {
            <span class="hljs-comment">// 判断一下响应中是否有 token，如果有就直接使用此 token 替换掉本地的 token。你可以根据你的业务需求自己编写更新 token 的逻辑</span>
            <span class="hljs-keyword">var</span> token = response.headers.authorization
            <span class="hljs-keyword">if</span> (token) {
                <span class="hljs-comment">// 如果 header 中存在 token，那么触发 refreshToken 方法，替换本地的 token</span>
                <span class="hljs-keyword">this</span>.$store.dispatch(<span class="hljs-string">'refreshToken'</span>, token)
            }
            <span class="hljs-keyword">return</span> response
        }, <span class="hljs-function">(<span class="hljs-params">error</span>) =&gt;</span> {
            <span class="hljs-keyword">switch</span> (error.response.status) {
                
                <span class="hljs-comment">// 如果响应中的 http code 为 401，那么则此用户可能 token 失效了之类的，我会触发 logout 方法，清除本地的数据并将用户重定向至登录页面</span>
                <span class="hljs-keyword">case</span> <span class="hljs-number">401</span>:
                    <span class="hljs-keyword">return</span> <span class="hljs-keyword">this</span>.$store.dispatch(<span class="hljs-string">'logout'</span>)
                    <span class="hljs-keyword">break</span>
                <span class="hljs-comment">// 如果响应中的 http code 为 400，那么就弹出一条错误提示给用户</span>
                <span class="hljs-keyword">case</span> <span class="hljs-number">400</span>:
                    <span class="hljs-keyword">return</span> <span class="hljs-keyword">this</span>.$Message.error(error.response.data.error)
                    <span class="hljs-keyword">break</span>
            }
            <span class="hljs-keyword">return</span> <span class="hljs-built_in">Promise</span>.reject(error)
        })
    }
})

import Vue from 'vue'

import router from './router'

import store from './store'

import iView from 'iview'

import 'iview/dist/styles/iview.css'

Vue.use(iView)

new Vue({

el: '#app',

router,

store,

created() {

// 自定义的 axios 响应拦截器

this.$axios.interceptors.response.use((response) => {

// 判断一下响应中是否有 token，如果有就直接使用此 token 替换掉本地的 token。你可以根据你的业务需求自己编写更新 token 的逻辑

var token = response.headers.authorization

if (token) {

// 如果 header 中存在 token，那么触发 refreshToken 方法，替换本地的 token

this.$store.dispatch('refreshToken', token)

}

return response

}, (error) => {

switch (error.response.status) {

// 如果响应中的 http code 为 401，那么则此用户可能 token 失效了之类的，我会触发 logout 方法，清除本地的数据并将用户重定向至登录页面

case 401:

return this.$store.dispatch('logout')

break

// 如果响应中的 http code 为 400，那么就弹出一条错误提示给用户

case 400:

return this.$Message.error(error.response.data.error)

break

}

return Promise.reject(error)

})

}

})

Vuex 内的代码如下：

store/index.js

import Vue <span class="hljs-keyword">from</span> 'vue'
import Vuex <span class="hljs-keyword">from</span> 'vuex'
import axios <span class="hljs-keyword">from</span> 'axios'

Vue.use(Vuex)

export <span class="hljs-keyword">default</span> new Vuex.Store({
    <span class="hljs-keyword">state</span>: {
        name: null,
        avatar: null,
        mobile: null,
        token: null,
        remark: null,
        auth: false,
    },
    mutations: {
        // 用户登录成功，存储 token 并设置 header 头
        logined(<span class="hljs-keyword">state</span>, token) {
            <span class="hljs-keyword">state</span>.auth = true
            <span class="hljs-keyword">state</span>.token = token
            localStorage.token = token
        },
        // 用户刷新 token 成功，使用新的 token 替换掉本地的token
        refreshToken(<span class="hljs-keyword">state</span>, token) {
            <span class="hljs-keyword">state</span>.token = token
            localStorage.token = token
            axios.defaults.headers.common['Authorization'] = <span class="hljs-keyword">state</span>.token
        },
        // 登录成功后拉取用户的信息存储到本地
        <span class="hljs-keyword">profile</span>(<span class="hljs-keyword">state</span>, data) {
            <span class="hljs-keyword">state</span>.name = data.name
            <span class="hljs-keyword">state</span>.mobile = data.mobile
            <span class="hljs-keyword">state</span>.avatar = data.avatar
            <span class="hljs-keyword">state</span>.remark = data.remark
        },
        // 用户登出，清除本地数据
        logout(<span class="hljs-keyword">state</span>){
            <span class="hljs-keyword">state</span>.name = null
            <span class="hljs-keyword">state</span>.mobile = null
            <span class="hljs-keyword">state</span>.avatar = null
            <span class="hljs-keyword">state</span>.remark = null
            <span class="hljs-keyword">state</span>.auth = false
            <span class="hljs-keyword">state</span>.token = null

            localStorage.removeItem('token')
        }
    },
    actions: {
         // 登录成功后保存用户信息
        logined({dispatch,commit}, token) {
            return new Promise(function (resolve, reject) {
                commit('logined', token)
                axios.defaults.headers.common['Authorization'] = token
                dispatch('<span class="hljs-keyword">profile</span>').then(() =&gt; {
                    resolve()
                }).catch(() =&gt; {
                    reject()
                })
            })
        },
        // 登录成功后使用 token 拉取用户的信息
        <span class="hljs-keyword">profile</span>({commit}) {
            return new Promise(function (resolve, reject) {
                axios.get('<span class="hljs-keyword">profile</span>', {}).then(respond =&gt; {
                    if (respond.status == <span class="hljs-number">200</span>) {
                        commit('<span class="hljs-keyword">profile</span>', respond.data)
                        resolve()
                    } else {
                        reject()
                    }
                })
            })
        },
        // 用户登出，清除本地数据并重定向至登录页面
        logout({commit}) {
            return new Promise(function (resolve, reject) {
                commit('logout')
                axios.post('auth/logout', {}).then(respond =&gt; {
                    Vue.<span class="hljs-variable">$router</span>.push({name:'login'})
                })
            })
        },
        // 将刷新的 token 保存至本地
        refreshToken({commit},token) {
            return new Promise(function (resolve, reject) {
                commit('refreshToken', token)
            })
        },
    }
})

import Vue from 'vue'

import Vuex from 'vuex'

import axios from 'axios'

Vue.use(Vuex)

export default new Vuex.Store({

state: {

name: null,

avatar: null,

mobile: null,

token: null,

remark: null,

auth: false,

mutations: {

// 用户登录成功，存储 token 并设置 header 头

logined(state, token) {

state.auth = true

state.token = token

localStorage.token = token

// 用户刷新 token 成功，使用新的 token 替换掉本地的token

refreshToken(state, token) {

state.token = token

localStorage.token = token

axios.defaults.headers.common['Authorization'] = state.token

// 登录成功后拉取用户的信息存储到本地

profile(state, data) {

state.name = data.name

state.mobile = data.mobile

state.avatar = data.avatar

state.remark = data.remark

// 用户登出，清除本地数据

logout(state){

state.name = null

state.mobile = null

state.avatar = null

state.remark = null

state.auth = false

state.token = null

localStorage.removeItem('token')

}

actions: {

// 登录成功后保存用户信息

logined({dispatch,commit}, token) {

return new Promise(function (resolve, reject) {

commit('logined', token)

axios.defaults.headers.common['Authorization'] = token

dispatch('profile').then(() => {

resolve()

}).catch(() => {

reject()

})

// 登录成功后使用 token 拉取用户的信息

profile({commit}) {

return new Promise(function (resolve, reject) {

axios.get('profile', {}).then(respond => {

if (respond.status == 200) {

commit('profile', respond.data)

resolve()

} else {

reject()

}

})

// 用户登出，清除本地数据并重定向至登录页面

logout({commit}) {

return new Promise(function (resolve, reject) {

commit('logout')

axios.post('auth/logout', {}).then(respond => {

Vue.$router.push({name:'login'})

})

// 将刷新的 token 保存至本地

refreshToken({commit},token) {

return new Promise(function (resolve, reject) {

commit('refreshToken', token)

})

}

})

更新异常处理的 Handler

由于我们构建的是 api 服务，所以我们需要更新一下 app/Exceptions/Handler.php 中的 render

方法，自定义处理一些异常。

Handler.php

<span class="php"><span class="hljs-meta">&lt;?php</span>

<span class="hljs-keyword">namespace</span> <span class="hljs-title">App</span>\<span class="hljs-title">Exceptions</span>;

<span class="hljs-keyword">use</span> <span class="hljs-title">Exception</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Foundation</span>\<span class="hljs-title">Exceptions</span>\<span class="hljs-title">Handler</span> <span class="hljs-title">as</span> <span class="hljs-title">ExceptionHandler</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Validation</span>\<span class="hljs-title">ValidationException</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Symfony</span>\<span class="hljs-title">Component</span>\<span class="hljs-title">HttpKernel</span>\<span class="hljs-title">Exception</span>\<span class="hljs-title">UnauthorizedHttpException</span>;

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">Handler</span> <span class="hljs-keyword">extends</span> <span class="hljs-title">ExceptionHandler</span>
</span>{
    ...

    <span class="hljs-comment">/**
     * Render an exception into an HTTP response.
     *
     * <span class="hljs-doctag">@param</span>  \Illuminate\Http\Request $request
     * <span class="hljs-doctag">@param</span>  \Exception $exception
     * <span class="hljs-doctag">@return</span> \Illuminate\Http\Response
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">render</span><span class="hljs-params">($request, Exception $exception)</span>
    </span>{
        <span class="hljs-comment">// 参数验证错误的异常，我们需要返回 400 的 http code 和一句错误信息</span>
        <span class="hljs-keyword">if</span> ($exception <span class="hljs-keyword">instanceof</span> ValidationException) {
            <span class="hljs-keyword">return</span> response([<span class="hljs-string">'error'</span> =&gt; array_first(array_collapse($exception-&gt;errors()))], <span class="hljs-number">400</span>);
        }
        <span class="hljs-comment">// 用户认证的异常，我们需要返回 401 的 http code 和错误信息</span>
        <span class="hljs-keyword">if</span> ($exception <span class="hljs-keyword">instanceof</span> UnauthorizedHttpException) {
            <span class="hljs-keyword">return</span> response($exception-&gt;getMessage(), <span class="hljs-number">401</span>);
        }

        <span class="hljs-keyword">return</span> <span class="hljs-keyword">parent</span>::render($request, $exception);
    }
}
</span>

<?php

namespace App\Exceptions;

use Exception;

use Illuminate\Foundation\Exceptions\Handler as ExceptionHandler;

use Illuminate\Validation\ValidationException;

class Handler extends ExceptionHandler

{

...

/**

* Render an exception into an HTTP response.

* @param \Illuminate\Http\Request $request

* @param \Exception $exception

* @return \Illuminate\Http\Response

*/

public function render($request, Exception $exception)

{

// 参数验证错误的异常，我们需要返回 400 的 http code 和一句错误信息

if ($exception instanceof ValidationException) {

return response(['error' => array_first(array_collapse($exception->errors()))], 400);

}

// 用户认证的异常，我们需要返回 401 的 http code 和错误信息

if ($exception instanceof UnauthorizedHttpException) {

return response($exception->getMessage(), 401);

}

return parent::render($request, $exception);

}

更新完此方法后，我们上面自定义的中间件里抛出的异常和我们下面参数验证错误抛出的异常都会被转为指定的格式抛出。

使用

现在，我们可以在我们的 routes/api.php 路由文件中新增几条路由来测试一下了：

api.php

Route::prefix(<span class="hljs-string">'auth'</span>)-&gt;group(<span class="hljs-function"><span class="hljs-keyword">function</span><span class="hljs-params">($router)</span> </span>{
    $router-&gt;post(<span class="hljs-string">'login'</span>, <span class="hljs-string">'AuthController@login'</span>);
    $router-&gt;post(<span class="hljs-string">'logout'</span>, <span class="hljs-string">'AuthController@logout'</span>);


});

Route::middleware(<span class="hljs-string">'refresh.token'</span>)-&gt;group(<span class="hljs-function"><span class="hljs-keyword">function</span><span class="hljs-params">($router)</span> </span>{
    $router-&gt;get(<span class="hljs-string">'profile'</span>,<span class="hljs-string">'UserController@profile'</span>);
});

Route::prefix('auth')->group(function($router) {

$router->post('login', 'AuthController@login');

$router->post('logout', 'AuthController@logout');

});

Route::middleware('refresh.token')->group(function($router) {

$router->get('profile','UserController@profile');

});

在你的 shell 中运行如下命令以新增一个控制器：

<span class="hljs-variable">$ </span>php artisan <span class="hljs-symbol">make:</span>controller AuthController

1	<span class="hljs-variable">$ </span>php artisan <span class="hljs-symbol">make:</span>controller AuthController

打开此控制器，写入如下内容

<span class="php"><span class="hljs-meta">&lt;?php</span>

<span class="hljs-keyword">namespace</span> <span class="hljs-title">App</span>\<span class="hljs-title">Http</span>\<span class="hljs-title">Controllers</span>;

<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Http</span>\<span class="hljs-title">Request</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">Illuminate</span>\<span class="hljs-title">Support</span>\<span class="hljs-title">Facades</span>\<span class="hljs-title">Auth</span>;
<span class="hljs-keyword">use</span> <span class="hljs-title">App</span>\<span class="hljs-title">Transformers</span>\<span class="hljs-title">UserTransformer</span>;

<span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">AuthController</span> <span class="hljs-keyword">extends</span> <span class="hljs-title">Controller</span>
</span>{

    <span class="hljs-comment">/**
     * Get a JWT token via given credentials.
     *
     * <span class="hljs-doctag">@param</span>  \Illuminate\Http\Request $request
     *
     * <span class="hljs-doctag">@return</span> \Illuminate\Http\JsonResponse
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">login</span><span class="hljs-params">(Request $request)</span>
    </span>{
        <span class="hljs-comment">// 验证规则，由于业务需求，这里我更改了一下登录的用户名，使用手机号码登录</span>
        $rules = [
            <span class="hljs-string">'mobile'</span>   =&gt; [
                <span class="hljs-string">'required'</span>,
                <span class="hljs-string">'exists:users'</span>,
            ],
            <span class="hljs-string">'password'</span> =&gt; <span class="hljs-string">'required|string|min:6|max:20'</span>,
         ];
          
        <span class="hljs-comment">// 验证参数，如果验证失败，则会抛出 ValidationException 的异常</span>
        $params = <span class="hljs-keyword">$this</span>-&gt;validate($request, $rules);

       <span class="hljs-comment">// 使用 Auth 登录用户，如果登录成功，则返回 201 的 code 和 token，如果登录失败则返回</span>
        <span class="hljs-keyword">return</span> ($token = Auth::guard(<span class="hljs-string">'api'</span>)-&gt;attempt($params))
            ? response([<span class="hljs-string">'token'</span> =&gt; <span class="hljs-string">'bearer '</span> . $token], <span class="hljs-number">201</span>)
            : response([<span class="hljs-string">'error'</span> =&gt; <span class="hljs-string">'账号或密码错误'</span>], <span class="hljs-number">400</span>);
    }

    <span class="hljs-comment">/**
     * 处理用户登出逻辑
     *
     * <span class="hljs-doctag">@return</span> \Illuminate\Http\JsonResponse
     */</span>
    <span class="hljs-keyword">public</span> <span class="hljs-function"><span class="hljs-keyword">function</span> <span class="hljs-title">logout</span><span class="hljs-params">()</span>
    </span>{
        Auth::guard(<span class="hljs-string">'api'</span>)-&gt;logout();

        <span class="hljs-keyword">return</span> response([<span class="hljs-string">'message'</span> =&gt; <span class="hljs-string">'退出成功'</span>]);
    }
}</span>

<?php

namespace App\Http\Controllers;

use Illuminate\Http\Request;

use Illuminate\Support\Facades\Auth;

use App\Transformers\UserTransformer;

class AuthController extends Controller

{

/**

* Get a JWT token via given credentials.

* @param \Illuminate\Http\Request $request

* @return \Illuminate\Http\JsonResponse

*/

public function login(Request $request)

{

// 验证规则，由于业务需求，这里我更改了一下登录的用户名，使用手机号码登录

$rules = [

'mobile' => [

'required',

'exists:users',

'password' => 'required|string|min:6|max:20',

];

// 验证参数，如果验证失败，则会抛出 ValidationException 的异常

$params = $this->validate($request, $rules);

// 使用 Auth 登录用户，如果登录成功，则返回 201 的 code 和 token，如果登录失败则返回

return ($token = Auth::guard('api')->attempt($params))

? response(['token' => 'bearer ' . $token], 201)

: response(['error' => '账号或密码错误'], 400);

}

/**

* 处理用户登出逻辑

* @return \Illuminate\Http\JsonResponse

*/

public function logout()

{

Auth::guard('api')->logout();

return response(['message' => '退出成功']);

}

}

然后我们进入 tinker：

<span class="hljs-variable">$ </span>php artisan tinker

1	<span class="hljs-variable">$ </span>php artisan tinker

执行以下命令来创建一个测试用户，我这里的用户名是用的是手机号码，你可以自行替换为邮箱。别忘了设置命名空间哟：

&gt;&gt;&gt; <span class="hljs-keyword">namespace</span> <span class="hljs-title">App</span>\<span class="hljs-title">Models</span>;
&gt;&gt;&gt; User::create([<span class="hljs-string">'name'</span> =&gt; <span class="hljs-string">'Test'</span>,<span class="hljs-string">'mobile'</span> =&gt; <span class="hljs-number">17623239881</span>,<span class="hljs-string">'password'</span> =&gt; bcrypt(<span class="hljs-string">'123456'</span>)]);

>>> namespace App\Models;

>>> User::create(['name' => 'Test','mobile' => 17623239881,'password' => bcrypt('123456')]);

正确执行结果如下图：

file

然后打开 Postman 来进行 api 测试

正确的请求结果如下图：

可以看到我们已经成功的拿到了 token，接下来我们就去验证一下刷新 token 吧

如图可以看到我们已经拿到了新的 token，接下来的事情便会交由我们前面设置的 axios 拦截器处理，它会将本地的 token 替换为此 token。

版本科普

感觉蛮多人对版本没什么概念，所以在这里科普下常见的版本。

α（Alpha）版

这个版本表示该 Package 仅仅是一个初步完成品，通常只在开发者内部交流，也有很少一部分发布给专业测试人员。一般而言，该版本软件的 Bug 较多，普通用户最好不要安装。
β（Beta）版

该版本相对于 α（Alpha）版已有了很大的改进，修复了严重的错误，但还是存在着一些缺陷，需要经过大规模的发布测试来进一步消除。通过一些专业爱好者的测试，将结果反馈给开发者，开发者们再进行有针对性的修改。该版本也不适合一般用户安装。
RC/ Preview版

RC 即 Release Candidate 的缩写，作为一个固定术语，意味着最终版本准备就绪。一般来说 RC 版本已经完成全部功能并清除大部分的 BUG。一般到了这个阶段 Package 的作者只会修复 Bug，不会对软件做任何大的更改。
普通发行版本

一般在经历了上面三个版本后，作者会推出此版本。此版本修复了绝大部分的 Bug，并且会维护一定的时间。（时间根据作者的意愿而决定，例如 Laravel 的一般发行版本会提供为期一年的维护支持。）
LTS（Long Term Support）版

该版本是一个特殊的版本，和普通版本旨在支持比正常时间更长的时间。（例如 Laravel 的 LTS 版本会提供为期三年的 维护支持。）

结语

jwt-auth 确实是一个很棒的用户认证 Package，配置简单，使用方便。

安装

配置

添加服务提供商

发布配置文件

生成密钥

配置 Auth guard

更改 Model

配置项详解

自定义认证中间件

设置 Axios 拦截器

更新异常处理的 Handler

使用

版本科普

α（Alpha）版

β（Beta）版

RC/ Preview版

普通发行版本

LTS（Long Term Support） 版

结语

Hi，您需要填写昵称和邮箱！

LTS（Long Term Support）版