Laravel 5.4 OAuth 与 Dingo 内部请求

Posted 2023-03-04

【中文标题】Laravel 5.4 OAuth 与 Dingo 内部请求

【英文标题】：Laravel 5.4 OAuth with Dingo internal requests

【发布时间】：2018-05-03 03:53:00

【问题描述】：

我正在使用带有 Dingo API 的 Laravel 5.4，并且我正在尝试让 Laravel 的 OAuth 2.0 (Passport) 处理内部 Dingo 请求。以前，我使用的是 JWT，但现在我希望使用 OAuth。这是我之前的调度程序代码，它传递所需的令牌以对内部请求执行身份验证。

public function getDispatcher()

    $token = JWTAuth::fromUser(Auth::user());
    return $this->api->header('Authorization','Bearer'.$token)->be(Auth::user());

现在我使用 OAuth 进行身份验证，我的 javascript 代码只需通过 JavaScript 中的passing a cookie using this method 即可获得身份验证，效果很好。

现在我需要修改 getDispatcher() 方法以在 Dingo 中的“内部请求”中获取 OAuth 令牌。有没有人有关于如何做到这一点的任何提示？从理论上讲，我可以为每个用户创建一个个人访问令牌，但这对于内部请求来说似乎有点过头了。任何建议或方法表示赞赏。如何在不通过完整的 OAuth 流程的情况下获取 OAuth 令牌，或者如何仅针对内部请求关闭身份验证。

根据以下答案更新：

'api.auth' 在路由上独立运行（只是 Dingo）并且内部请求有效。 auth:api (Passport) + api.auth 我得到了内部请求中不允许的方法，它以 JSON 形式返回。 "message":"405 Method Not Allowed" 现在尝试调用内部 POST 请求时。 （看起来在尝试 POST 到这些路由时会发生 301 重定向到登录页面，进而导致 API 路径以某种方式变成 GET 从而引发 405 错误）。

通过 Postman 的 API 请求以相反的方式工作。当 (auth:api just Passport) 都处于活动状态时找不到用户 (['middleware' => ['auth:api','api.auth']) 工作正常。

【问题讨论】：

看看这对esbenp.github.io/2017/03/19/modern-rest-api-laravel-part-4有帮助吗？

【参考方案1】：

如果我没看错问题，看起来我们正在尝试同时使用两个身份验证提供程序——Dingo's 和 Passport。如果我误解了，请纠正我，但似乎我们实际上不需要在这个项目中同时使用两者。对于大多数应用程序，我们可以使用 Passport 执行身份验证，并将结果简单地传递给 Dingo。

我们通过创建一个custom authentication provider 来实现这一点，它将 Dingo 与 Passport 执行的身份验证联系起来：

use Dingo\Api\Contract\Auth\Provider;
use Illuminate\Auth\AuthManager;
...
class PassportDingoAuthProvider implements Provider

    protected $guard;

    public function __construct(AuthManager $auth) 
    
        $this->guard = $auth->guard('api');
    

    public function authenticate(Request $request, Route $route)
    
        if ($this->guard->check())  
            return $this->guard->user();
        

        throw new UnauthorizedHttpException('Not authenticated via Passport.');
    

如我们所见，上面显示的 Dingo 身份验证提供程序只是挂钩到 Laravel 身份验证系统，以在通过身份验证时转发 User。构造函数中指定的'api' 守卫应该与configured for Passport 守卫相匹配（我们通常在config/auth.php 中的'guards' 数组中添加一个'api' 条目）：

'guards' => [
    ...
    'api' => [
        'driver' => 'passport',
        'provider' => 'users',
    ],
],

然后，我们需要在config/api.php中向Dingo注册自定义提供者：

'auth' => 
    'passport' => App\Providers\PassportDingoAuthProvider::class
]

现在我们可以声明使用 Passport 身份验证中间件 (auth:api) 和 Dingo 身份验证中间件 (api.auth) 的受保护路由：

$api->get('endpoint', function ()  ... )->middleware('auth:api', 'api.auth');

如果需要，我们可以在 app/Http/Kernel.php 中创建一个 middleware group 来组合这些：

protected $middlewareGroups = [
    ...
    'auth:api-combined' => [
        'auth:api', // Passport
        'api.auth'  // Dingo
    ]
];

当应用程序需要调用内部 API 时，客户端应该已经通过身份验证，因为典型的 Laravel 应用程序在中间件堆栈中处理身份验证。如您所知，如果需要，我们可以简单地将经过身份验证的 User 传递给 Dingo 端点：

return $this->api->be(auth()->user())->get('endpoint');

...但是对于上面显示的身份验证提供程序，这应该不是必需的。 Dingo 将从 Passport 的 auth guard 中解析出经过身份验证的用户。

a sample project 结合了这些概念。

现在我正在使用 OAuth 进行身份验证，我的 Javascript 代码只需通过在 Javascript 中使用此方法传递一个 cookie 即可获得身份验证...我需要修改 getDispatcher 方法以获取“内部”上的 OAuth 令牌在 Dingo 中请求。

当我们使用CreateFreshApiToken middleware 时，Laravel 会即时生成一个加密的 JWT。我们可以手动创建以下令牌之一：

use Firebase\JWT\JWT; // installed with Passport
...
$token = JWT::encode([
    'sub' => auth()->id(),
    'csrf' => session()->token(),
    'expiry' => Carbon::now()->addMinutes(config('session.lifetime')),
], app('encrypter')->getKey());

我们可以看到这不是标准的 OAuth 访问令牌 - Passport 仅将这些用于 Web 请求。或者，我们可以从 JavaScript 传回的 cookie 中获取这个值：

$token = request()->cookie(Passport::cookie());

但是，如果我们如上所述将 Dingo 与 Passport 集成，则不需要此令牌。

【讨论】：

这看起来很棒..会让你知道我的进展情况。

尝试了描述的解决方案.. 不幸的是接近但没有雪茄。一个示例 git 项目可以很好地查看结构，但我的直觉是我在中间件 atm 中遗漏了一些东西。

@Paul 今天或明天有时间我会尝试将示例项目放在一起。

那太棒了。感谢到目前为止所花费的时间。

@Paul 解决更新问题：确保我们调用 $dispatcher->post('internal-endpoint') 而不是 get() 来解决 405 错误。如果没有真正的访问令牌，使用 Postman 的请求将无法工作，因为我们没有收到 CreateFreshApiToken 发送的 Passport 的 JWT。这是a sample project，应该可以提供一些想法。