Что такое JWT токены? Как реализовать аутентификацию через JWT в PHP?

JWT (JSON Web Tokens) - обзор

JWT (JSON Web Tokens) - это открытый стандарт (RFC 7519) для создания токенов доступа, основанных на JSON. Это компактный, автономный способ безопасной передачи информации между сторонами в виде JSON-объекта. Информация может быть проверена и доверена, поскольку она цифрово подписана с использованием секретного ключа или пары открытый/закрытый ключ.

Структура JWT

JWT состоит из трех частей, разделенных точками:

header.payload.signature

1. Header (заголовок) - содержит тип токена и алгоритм хеширования
2. Payload (полезная нагрузка) - содержит утверждения (claims) с данными пользователя
3. Signature (подпись) - создается путем кодирования header и payload с секретным ключом

// Пример payload
{
  "sub": "1234567890",
  "name": "Иван Иванов",
  "iat": 1516239022,
  "exp": 1516242622
}

Реализация JWT аутентификации в PHP

1. Установка необходимых библиотек

Для работы с JWT в PHP рекомендуется использовать библиотеку Firebase JWT:

composer require firebase/php-jwt

2. Генерация JWT токена

<?php
require 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

class JwtAuth {
    private $secretKey = "ваш_секретный_ключ";
    private $algorithm = 'HS256';
    
    public function generateToken($userId, $username, $additionalData = []) {
        $issuedAt = time();
        $expirationTime = $issuedAt + 3600; // Токен действителен 1 час
        
        $payload = array(
            "iat" => $issuedAt,
            "exp" => $expirationTime,
            "sub" => $userId,
            "username" => $username,
            "data" => $additionalData
        );
        
        return JWT::encode($payload, $this->secretKey, $this->algorithm);
    }
}

3. Валидация и декодирование JWT токена

class JwtAuth {
    // ... предыдущий код
    
    public function validateToken($jwt) {
        try {
            $decoded = JWT::decode($jwt, new Key($this->secretKey, $this->algorithm));
            return (array) $decoded;
        } catch (Exception $e) {
            // Обработка ошибок: просроченный токен, неверная подпись и т.д.
            return false;
        }
    }
}

4. Middleware для проверки аутентификации

class AuthMiddleware {
    private $jwtAuth;
    
    public function __construct() {
        $this->jwtAuth = new JwtAuth();
    }
    
    public function handle($request) {
        $headers = getallheaders();
        
        // Извлечение токена из заголовка Authorization
        if (!isset($headers['Authorization'])) {
            http_response_code(401);
            echo json_encode(["error" => "Токен не предоставлен"]);
            exit;
        }
        
        $authHeader = $headers['Authorization'];
        $jwt = str_replace('Bearer ', '', $authHeader);
        
        $decoded = $this->jwtAuth->validateToken($jwt);
        
        if (!$decoded) {
            http_response_code(401);
            echo json_encode(["error" => "Неверный или просроченный токен"]);
            exit;
        }
        
        // Добавляем данные пользователя в запрос
        $request['user'] = $decoded;
        return $request;
    }
}

5. Пример использования в REST API

// login.php - эндпоинт для аутентификации
$auth = new JwtAuth();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $data = json_decode(file_get_contents('php://input'), true);
    
    // Проверка учетных данных (обычно проверка в базе данных)
    if ($this->checkCredentials($data['username'], $data['password'])) {
        $token = $auth->generateToken(
            $user['id'], 
            $user['username'],
            ['role' => $user['role']]
        );
        
        echo json_encode([
            'success' => true,
            'token' => $token,
            'expires_in' => 3600
        ]);
    }
}

// protected_endpoint.php - защищенный эндпоинт
$middleware = new AuthMiddleware();
$request = $middleware->handle($_REQUEST);

// Если код дошел сюда, пользователь аутентифицирован
echo json_encode([
    'message' => 'Доступ разрешен',
    'user_data' => $request['user']
]);

Преимущества и недостатки JWT

Преимущества:

• Stateless - не требует хранения сессий на сервере
• Масштабируемость - легко работает в распределенных системах
• Кроссплатформенность - работает на любом языке программирования
• Безопасность - данные подписаны цифровой подписью

Недостатки:

• Невозможность отзыва токена до истечения срока действия
• Размер токена больше, чем у session ID
• Хранение в безопасном месте на клиенте (обычно в localStorage или cookies)

Безопасность JWT

1. Используйте HTTPS для передачи токенов
2. Установите короткое время жизни access token (15-60 минут)
3. Используйте refresh token для обновления access token
4. Храните секретный ключ в безопасном месте (.env файл)
5. Реализуйте blacklist для отозванных токенов при необходимости

JWT аутентификация особенно полезна для RESTful API, микросервисной архитектуры и одностраничных приложений (SPA), где stateless подход значительно упрощает реализацию и масштабирование.