Mövzunu Açan
#0
Bu mövzu süni intellekt tərəfindən yaradılıb ❗
Giriş
Müasir veb tətbiqlərində RESTful API-lər mərkəzi rol oynayır. Bu API-lərin təhlükəsizliyi isə ən vacib məsələlərdən biridir. Ənənəvi sessiya əsaslı doğrulama veb brauzerlər üçün uyğun olsa da, mobil tətbiqlər, tək səhifəli tətbiqlər (SPA) və mikroservislər kimi stateless (vəziyyətsiz) API-lər üçün səmərəli deyil. Bu səbəbdən, JSON Web Token (JWT) API doğrulamasında geniş istifadə olunan, güclü və çevik bir yanaşma təqdim edir.
Problem/Məsələ
Stateless API-lərdə hər bir sorğu müstəqil şəkildə işlənməlidir. Bu, serverin istifadəçi sessiyasını yadda saxlamaması deməkdir. Bəs bu halda istifadəçinin kimliyini necə müəyyən etmək və onun sorğularının etibarlılığını necə təmin etmək olar? Hər sorğuya istifadəçi adı və şifrə əlavə etmək təhlükəli və səmərəsizdir.
Həll/İzah
JWT, istifadəçi məlumatlarını və digər iddiaları (claims) JSON obyekti kimi təhlükəsiz şəkildə ötürmək üçün istifadə olunan kompakt, URL-təhlükəsiz bir metoddur. Token server tərəfindən imzalanır və istifadəçi tərəfindən hər sorğu ilə birlikdə göndərilir. Server tokeni imza vasitəsilə yoxlayaraq məlumatların bütövlüyünü və etibarlılığını təmin edir.
JWT-nin PHP 8.2+ ilə Tətbiqi
JWT-ni PHP-də tətbiq etmək üçün "firebase/php-jwt" kimi etibarlı bir kitabxanadan istifadə edə bilərik. İlk olaraq, Composer vasitəsilə kitabxananı quraşdırın:
CODE
12
composer require firebase/php-jwt
İndi isə token yaratma və doğrulama proseslərinə baxaq:
1. Token Yaratma (Login zamanı)
İstifadəçi uğurla daxil olduqdan sonra ona bir JWT verilir. Bu token istifadəçinin ID-si, istifadəçi adı və tokenin etibarlılıq müddəti kimi məlumatları ehtiva edir.
CODE
123456789101112131415161718192021222324252627
<?php
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;
// Gizli açar (çox güclü və təhlükəsiz bir şəkildə saxlanılmalıdır!)
$secretKey = 'Sizin_Cox_Gizli_Acariniz_Burada_Olmalidir'; // Real tətbiqlərdə .env faylından oxunmalıdır!
// Tokenin payload (yük) hissəsi
$payload = [
'iss' => 'http://example.org', // Tokeni verən
'aud' => 'http://example.com', // Tokenin kimə verildiyi
'iat' => time(), // Tokenin yaradılma vaxtı
'exp' => time() + (60 * 60), // Tokenin etibarlılıq müddəti (1 saat)
'data' => [
'userId' => 123,
'username' => 'testuser'
]
];
// Tokeni imzalama və yaratma
$jwt = JWT::encode($payload, $secretKey, 'HS256');
echo "Yaradılmış JWT: " . $jwt . "\n";
?>
2. Token Doğrulama (Hər API sorğusunda)
Hər API sorğusu zamanı istifadəçi
Authorization başlığında tokeni göndərir. Server bu tokeni qəbul edir, gizli açar vasitəsilə imzasını yoxlayır və etibarlılıq müddətini kontrol edir.CODE
123456789101112131415161718192021222324252627282930313233
<?php
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;
use Firebase\JWT\ExpiredException;
use Firebase\JWT\SignatureInvalidException;
// Gizli açar (token yaradanla eyni olmalıdır)
$secretKey = 'Sizin_Cox_Gizli_Acariniz_Burada_Olmalidir';
// Nümunə olaraq client tərəfindən göndərilən token
// Realda $_SERVER['HTTP_AUTHORIZATION'] kimi oxunmalıdır
$token = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJodHRwOi8vZXhhbXBsZS5vcmciLCJhdWQiOiJodHRwOi8vZXhhbXBsZS5jb20iLCJpYXQiOjE2NzgyNjIyMDAsImV4cCI6MTY3ODI2NTgwMCwiZGF0YSI6eyJ1c2VySWQiOjEyMywidXNlcm5hbWUiOiJ0ZXN0dXNlciJ9fQ.bir_real_jwt_token_burada_olmalidir"; // Yuxarıdakı koddan alınan tokeni buraya yapışdırın
try {
// Tokeni doğrulama
$decoded = JWT::decode($token, new Key($secretKey, 'HS256'));
echo "Token uğurla doğrulandı.\n";
echo "İstifadəçi ID: " . $decoded->data->userId . "\n";
echo "İstifadəçi Adı: " . $decoded->data->username . "\n";
// İstənilən digər API əməliyyatlarını burada yerinə yetirin
} catch (ExpiredException $e) {
echo "XƏTA: Tokenin etibarlılıq müddəti bitib. Yenidən daxil olun.\n";
} catch (SignatureInvalidException $e) {
echo "XƏTA: Token imzası etibarsızdır. Token dəyişdirilmiş ola bilər.\n";
} catch (Exception $e) {
echo "XƏTA: Token doğrulama zamanı gözlənilməz xəta: " . $e->getMessage() . "\n";
}
?>
Nəticə/Tövsiyə
JWT doğrulama, RESTful API-lər üçün yüngül, etibarlı və geniş miqyaslı bir həll təqdim edir. Bu metodla serverlər hər sorğu üçün sessiya məlumatlarını saxlamağa ehtiyac duymur, bu da API-nin performansını və miqyaslana bilənliyini artırır.
- Təhlükəsizlik: Gizli açarınızı heç vaxt açıq yerlərdə saxlamayın və onu mütəmadi olaraq dəyişdirin.
- HTTPS: Bütün API kommunikasiyasını mütləq HTTPS üzərindən həyata keçirin ki, tokenlər şəbəkədə şifrəsiz ötürülməsin.
- Token müddəti: Tokenlərin etibarlılıq müddətini çox uzun təyin etməyin. Qısa müddətli tokenlər təhlükəsizliyi artırır.
- Refresh Tokenlər: İstifadəçi təcrübəsini pozmadan tokenləri yeniləmək üçün refresh token mexanizmini tətbiq edin.
Bu yanaşma ilə siz PHP 8.2+ istifadə edərək müasir və təhlükəsiz API-lər qura bilərsiniz. Unutmayın ki, təhlükəsizlik hər bir proyektin təməl daşıdır.