如何正确使用Bearer代币？

Question

我正在用 PHP 制作一个授权系统，我遇到了这个传递 JWT 令牌的持有者方案，我阅读了 [RFC 6750][1]。我有以下疑问：

1. 这是如何提高安全性的
2. 在成功授权和登录后，服务器在其主体中使用JWT令牌对客户端进行响应，现在当客户端发出另一个请求时，我不清楚该怎么做，我想在请求的authorization头中从客户端发送令牌，所以现在我应该在上一次响应中从服务器收到的令牌前面加上“Bearer”前缀，如果是，那么服务器在接收到Authorization头时，应该只使用空格分割字符串，并从获得的数组中获取第二个值，然后对其进行解码？例如Authorization:Bearer fdbghfbfjhg_sething，服务器应该如何处理这一点，decodeFunc（爆炸（“”，$this-




Answer 1

我建议使用以下RegEx来检查它是否是有效的jwt令牌：

/Bearer\s((.*)\.(.*)\.(.*))/

并且也用匹配[1]来访问它。

这是JWT-Token的结构，参见：https://jwt.io/

Answer 2

1.提高安全性，因为如果令牌没有在url中发送的头中发送，它将被网络系统、服务器日志……记录。。。。

2.获取无记名代币的好功能

/** 
 * Get header Authorization
 * */
function getAuthorizationHeader(){
    $headers = null;
    if (isset($_SERVER['Authorization'])) {
        $headers = trim($_SERVER["Authorization"]);
    }
    else if (isset($_SERVER['HTTP_AUTHORIZATION'])) { //Nginx or fast CGI
        $headers = trim($_SERVER["HTTP_AUTHORIZATION"]);
    } elseif (function_exists('apache_request_headers')) {
        $requestHeaders = apache_request_headers();
        // Server-side fix for bug in old Android versions (a nice side-effect of this fix means we don't care about capitalization for Authorization)
        $requestHeaders = array_combine(array_map('ucwords', array_keys($requestHeaders)), array_values($requestHeaders));
        //print_r($requestHeaders);
        if (isset($requestHeaders['Authorization'])) {
            $headers = trim($requestHeaders['Authorization']);
        }
    }
    return $headers;
}

/**
 * get access token from header
 * */
function getBearerToken() {
    $headers = getAuthorizationHeader();
    // HEADER: Get the access token from the header
    if (!empty($headers)) {
        if (preg_match('/Bearer\s(\S+)/', $headers, $matches)) {
            return $matches[1];
        }
    }
    return null;
}