tymon/jwt-authで安全にマルチ認証を実装する。
概要
tymon/jwt-auth で生成した jwt をクッキーに保管した際のマルチ認証の実装メモです。
jwt-auth で生成した jwt をクッキーで管理するとちょっと面倒
laravel で jwt の生成と認証をしようと思うと「tymon/jwt-auth」を使う事になると思います。
ログイン認証情報の jwt を簡単に生成できて便利なんですが、jwt をクッキーで管理してマルチ認証をしようとした場合は別。
なぜなら jwt を格納するクッキー名が「tymon/jwt-auth」側が用意している「token」しか使えないから。
そうなるとブラウザ側で jwt_admin、jwt_user を持たせるみたいな事はできない。
authorization ヘッダとかクエリパラメータに jwt を付与して送信すれば特に何も問題ないが、そうなると jwt の保管先がローカルストレージか js のグローバル変数とかになってくる。
外部ライブラリをバリバリに使いたいので jwt は httpinly 属性付きの cookie に保存しておきたい。
結論
jwt を含むクッキーは独自の名前で持っておいて
それを laravel のミドルウェア側で authrorization ヘッダーにくっつけて処理を流すようにする。
コード
Route::group(['prefix' => 'auth'], function () {
// 管理者
Route::group(['prefix' => 'admin'], function () {
Route::get('/me', [Controllers\Api\V1\AuthAdminController::class, 'me'])->middleware(['auth:admin']);
Route::post('/login', [Controllers\Api\V1\AuthAdminController::class, 'login']);
});
// ユーザー
Route::group(['prefix' => 'front'], function () {
Route::get('/me', [Controllers\Api\V1\AuthFrontController::class, 'me'])->middleware(['auth:user']);
Route::post('/login', [Controllers\Api\V1\AuthFrontController::class, 'login']);
});
});
<?php
namespace App\Http\Middleware\JwtAuth;
use Closure;
use Illuminate\Http\Request;
class AddAuthorizationHeader
{
public function handle(Request $request, Closure $next)
{
$jwt = '';
// ルート側で持っているmiddlewareを取得
$current_route_middlewares = $request->route()->computedMiddleware;
if (in_array('auth:user', $current_route_middlewares)) {
$jwt = $request->cookie('jwt_user');
} else if (in_array('auth:admin', $current_route_middlewares)) {
$jwt = $request->cookie('jwt_admin');
}
if ($jwt) {
// Authorizationヘッダー追加
$request->headers->set('Authorization', 'Bearer ' . $jwt);
}
return $next($request);;
}
}
'api' => [
\App\Http\Middleware\EncryptCookies::class,
\App\Http\Middleware\JwtAuth\AddAuthorizationHeader::class, ※追加
\Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
'throttle:60,1',
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
Author And Source
この問題について(tymon/jwt-authで安全にマルチ認証を実装する。), 我々は、より多くの情報をここで見つけました https://zenn.dev/homing/articles/c15eeb6b1fc68f著者帰属：元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Collection and Share based on the CC protocol