PHP JWT:: **解码**过期令牌

Question

我使用了一个JWT（Json Web令牌），它在负载中有一个刷新令牌（GUID）。通常，我使用Firebase JWT创建/编码和解码JWT。

我想在PHP中解码一个过期的JWT，然后使用其负载中的刷新令牌创建一个新的JWT（只要刷新令牌仍然有效）。如果我用Firebase解码JWT，它会抛出一个异常（过期），并且不会返回解码后的令牌。

如何安全地解码过期的JWT并访问它的有效负载？我可以只捕获过期的异常吗？这是不安全的，它也可能捕获其他错误。如果我这样做了，我如何访问有效负载？感谢您的帮助和输入。

Answer 1

以下是我的解决方案：

1. 试一试Firebase的解码

只有当令牌有效且过期时，才会使用正常的base64进行解码（因此不检查签名）。但签名检查是在步骤1解码之前完成的。

这里是它的伪代码：

$jwt = getBearerToken();

try {

$decoded = JWT::decode($jwt, $key, array('HS256'));
$refresh_token=$decoded->data->refresh_token;

}

catch (Exception $e){

if($e->getMessage() == "Expired token"){
    list($header, $payload, $signature) = explode(".", $jwt);
    $payload = json_decode(base64_decode($payload));
    $refresh_token = $payload->data->refresh_token;

} else {

    // set response code
    http_response_code(401);

    // show error message
    echo json_encode(array(
        "message" => "Access denied.",
        "error" => $e->getMessage()
    ));
    die();
    }
}