PHP Slim 4 - 使用 firebase JWT 令牌授权 api 请求
Posted
技术标签:
【中文标题】PHP Slim 4 - 使用 firebase JWT 令牌授权 api 请求【英文标题】:PHP Slim 4 - Authorize api request using firebase JWT token 【发布时间】:2021-03-04 16:35:53 【问题描述】:我正在尝试使用适用于 slim 4 的 Tuupola Jwt 中间件验证从 firebase javascript sdk 提供的 idToken,但我总是收到 401 错误。这是我用来获取令牌的客户端代码:
const provider = new firebase.auth.GoogleAuthProvider();
provider.addScope("profile");
provider.addScope("email");
firebase.auth().signInWithPopup(provider).then( (result) =>
console.log(result);
);
身份验证流程将按预期正常工作,我能够将令牌传递到授权标头中,但我无法在使用 slim 4 作为 Restful api 的服务器上对其进行验证。
我读过关于this problem 的不同question,但这些都没有帮助我解决这个问题。
这是我的中间件实现:
use Tuupola\Middleware\CorsMiddleware;
use Tuupola\Middleware\JwtAuthentication;
use Slim\App as App;
return function(App $app)
$app->add(new Tuupola\Middleware\CorsMiddleware([
"origin" => ["chrome-extension://oegddbimpfdpbojkmfibkebnagidflfc"],
"methods" => ["GET", "POST", "OPTIONS"],
"headers.allow" => ["Authorization"],
"headers.expose" => [],
"credentials" => true,
"cache" => 86400
]));
// $rawPublicKeys = file_get_contents('https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com');
// $keys = json_decode($rawPublicKeys, true);
$keys = file_get_contents('https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com');
$app->add(new Tuupola\Middleware\JwtAuthentication([
"algorithm" => ["RS256"],
"header" => "X-Authorization",
"regexp" => "/Bearer\s+(.*)$/i",
"secret" => $keys,
"secure" => false,
"after" => function ($response, $arguments)
return $response->withHeader("X-Brawndo", "plants crave"); //this is only for test
]));
;
这就是我的 index.php 文件中运行 slim 应用程序的内容
use Psr\Http\Message\ResponseInterface as Response;
use Psr\Http\Message\ServerRequestInterface as Request;
use Psr\Http\Server\RequestHandlerInterface;
use Slim\Routing\RouteCollectorProxy;
use Slim\Routing\RouteContext;
use Slim\Factory\AppFactory;
use Tuupola\Middleware\CorsMiddleware;
require_once __DIR__.'/vendor/autoload.php';
$app = AppFactory::create();
$authMiddleware = require_once __DIR__.'/middleware.php';
$authMiddleware($app);
$app->get('/keygen', function(Request $request, Response $response, $args)
$password = bin2hex(random_bytes(3));
$response->getBody()->write( json_encode(['generated_password' => $password]) );
return $response->withHeader('Content-Type','application/json');
);
$app->add(new Tuupola\Middleware\CorsMiddleware([
"origin" => ["*"],
"methods" => ["GET", "POST", "OPTIONS"],
"headers.allow" => ["Authorization"],
"headers.expose" => [],
"credentials" => true,
"cache" => 86400
]));
$app->run();
我想要实现的是使用客户端登录后提供的 firebase idToken 对从客户端向 api 发出的每个请求进行身份验证。当发出请求时,中间件将验证令牌,然后授权用户或不使用端点。
可以解决这个问题吗?
【问题讨论】:
【参考方案1】:经过大量调试,我发现并解决了问题。在我的客户端代码中,我使用了错误的idToken
作为Authorization: Bearer
,并且发送到服务器的标头与中间件配置不匹配,在我的axios 请求中,我发送的是X-Authorization
标头而不是Authorization
。为了获得要使用的正确令牌,我调用了firebase.auth().onAuthStateChanged( (user) =>...)
方法,当用户对象可用时,我调用了getIdToken()
方法。此操作返回正确的 JWT 令牌以与中间件一起使用以对请求进行身份验证。
【讨论】:
以上是关于PHP Slim 4 - 使用 firebase JWT 令牌授权 api 请求的主要内容,如果未能解决你的问题,请参考以下文章