本文目录导读：
《PHP中基于JWT实现单点登录（SSO）：原理、实现与安全考量》
单点登录（SSO）概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录到多个相关但独立的应用程序或系统中，在现代的企业级应用和大型互联网应用架构中，单点登录具有诸多优势。
（一）提升用户体验
图片来源于网络，如有侵权联系删除
用户无需在每个应用程序中分别输入用户名和密码，减少了登录操作的繁琐性，在一个企业内部，员工可能需要使用多个业务系统，如办公自动化系统、人力资源管理系统、财务系统等，如果没有单点登录，员工需要记住多个账号密码，并且每次切换系统都要重新登录，这是非常不便的。
（二）简化管理
对于系统管理员来说，单点登录可以简化用户账号的管理，只需要在单点登录服务器上管理用户的账号信息，而不需要在每个应用系统中单独维护一套用户体系，这样可以减少数据不一致性的风险，并且当用户的身份信息发生变更（如密码修改）时，只需要在单点登录系统中进行操作，就可以同步到所有相关的应用系统中。
二、JWT（JSON Web Token）简介
JWT是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为JSON对象。
（一）结构
JWT由三部分组成，分别是头部（Header）、载荷（Payload）和签名（Signature）。
1、头部（Header）
- 通常包含两部分信息：令牌的类型（即JWT）和所使用的签名算法，如HMAC SHA256或RSA等。
```json
{
"alg": "HS256",
"typ": "JWT"
}
```
2、载荷（Payload）
- 载荷包含了一些声明（Claims），这些声明是关于实体（通常是用户）和附加数据的，声明可以分为三种类型：注册的声明、公共的声明和私有的声明。
- 注册的声明包括一些预定义的字段，如“iss”（签发者）、“exp”（过期时间）、“sub”（主题，通常为用户ID）等。
```json
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
```
3、签名（Signature）
- 签名是为了验证消息在传递过程中没有被篡改，它是通过将头部和载荷进行编码后，使用密钥和指定的签名算法生成的，如果头部和载荷分别被Base64编码为header和payload，密钥为secretKey，使用HS256算法，则签名计算如下：
```php
图片来源于网络，如有侵权联系删除
$signature = hash_hmac('sha256', $header.'.'.$payload, $secretKey, true);
```
（二）JWT在单点登录中的优势
1、无状态性
- 传统的基于会话（Session）的身份验证机制是有状态的，服务器需要存储会话信息，而JWT是无状态的，服务器不需要存储任何关于用户会话的信息，这使得服务器更容易扩展，特别是在分布式系统和微服务架构中。
2、跨域支持
- 在现代的Web应用中，经常会涉及到跨域访问的情况，JWT可以很方便地在不同域名的应用之间传递身份信息，因为它只是一个简单的JSON对象，可以通过HTTP请求的头部或者请求体进行传输。
基于PHP的JWT单点登录实现
（一）安装JWT库
在PHP中，有多个库可以用于处理JWT，如firebase/php - jwt，可以通过Composer进行安装：
composer require firebase/php - jwt
（二）单点登录流程
1、用户登录
- 用户在单点登录系统（SSO Server）中输入用户名和密码。
- SSO Server验证用户凭据，如果验证成功，生成一个JWT。
```php
require 'vendor/autoload.php';
use Firebase\JWT\JWT;
$key = "secret_key";
$payload = array(
"sub" => $user_id,
"name" => $user_name,
"iat" => time(),
"exp" => time() + 3600 // 1小时后过期
);
$jwt = JWT::encode($payload, $key);
```
- 将生成的JWT返回给用户（可以通过重定向或者在响应中返回）。
2、访问其他应用（受保护资源）
- 当用户尝试访问其他应用（App1、App2等）时，将JWT包含在请求中（可以是HTTP头部的Authorization字段或者请求体中）。
图片来源于网络，如有侵权联系删除
- 应用接收到请求后，首先验证JWT的有效性。
```php
try {
$decoded = JWT::decode($jwt, $key, array('HS256'));
// 如果验证成功，可以根据解码后的信息确定用户身份并提供相应的服务
} catch (\Exception $e) {
// 如果验证失败，拒绝访问并返回错误信息
http_response_code(401);
echo "Unauthorized";
}
```
安全考量
（一）密钥管理
1、保护密钥
- JWT的签名密钥是非常关键的，如果密钥泄露，攻击者就可以伪造JWT，密钥应该妥善保管，例如存储在环境变量中，而不是直接写在代码中。
2、密钥轮换
- 定期更换密钥可以增加安全性，在密钥轮换时，需要确保旧的JWT仍然可以被验证（可以设置一个过渡时期，同时支持新旧密钥的验证）。
（二）JWT有效期管理
1、合理设置过期时间
- 如果过期时间设置过长，一旦JWT泄露，攻击者就有更多的时间利用它进行非法访问，如果设置过短，可能会导致用户频繁重新登录，影响用户体验，需要根据应用的具体情况，如应用的安全级别、用户的使用频率等因素来合理设置过期时间。
2、处理过期的JWT
- 当JWT过期时，应用应该明确地拒绝访问，并引导用户重新登录（如果是在单点登录的场景下，可能会重定向到SSO Server进行重新登录）。
（三）防范JWT篡改
1、验证签名
- 在接收JWT时，必须严格验证签名，如果签名验证失败，说明JWT可能被篡改，应该拒绝接受该JWT。
2、加密敏感信息
- 如果载荷中包含敏感信息（如用户密码虽然不应该包含，但可能有其他敏感的用户属性），可以考虑对这些信息进行加密后再放入JWT中，进一步防止信息泄露和篡改。
基于JWT的单点登录在PHP应用中是一种非常有效的身份验证和授权机制，通过合理的实现和安全考量，可以为用户提供便捷的登录体验，同时保障系统的安全性，在实际应用中，还需要根据具体的业务需求和安全要求不断优化和完善单点登录的实现。
评论列表