Manipulando JWT em apis Laravel

Palestra apresentada na trilha de Arquitetura PHP do TDC São Paulo 2018.

1. Manipulando JWT em
apis Laravel
EDUARDO CESAR
DESENVOLVEDOR DE SOFTWARE
ZARPSYSTEM

3. Authentication

4. Authentication is the process of
verification that an individual, entity or
website is who it claims to be.
OWASP

5. Authorization

6. ...generally enforced on the basis of a
user-specific policy, and authentication
is the way to establish the user in
question.
OWASP

7. Processos para
autenticação
Básicamente duas formas!
●Autenticação baseada em sessões
e cookies
●Autenticação baseada em tokens

9. Respostas
HTTP
Sempre condizentes com as
ações
●200 Para casos de sucesso,
●400 Para casos de erros, como
email inválido por exemplo
●404 Para usuários não encontrado
●401 Para usuários não autorizados
●403 Para acesso proíbido

10. JWT
Json Web Token

11. É uma especificação descrita na RFC
7915, e propõe uma implementação
segura para troca de informações entre
client e server através de objetos json.

12. Como JWT trabalha ?

14. O que constitui um
token JWT ?

15. JWT
Anatomia
●HEADER
●PAYLOAD
●SIGNATURE

16. Header ?

17. HEADERS

18. PAYLOAD ?

19. PAYLOAD

20. {
// registered claims
"iss": "a partir de onde o token foi gerado",
"iat": “identifica a hora que foi gerado representada por um timestamp”,
"exp": “define um timestamp de expiração para o token ”,
"nbf": “define um timestamp para que o token não seja processado antes
dele”,
"jti": "é o identificador único deste token JWT ID",
"sub": 1,
// public claims
"prv": "o hash da class User Provider do Laravel",
"role": "uma permissão definida pela aplicação"
}

21. SIGNATURE ?

22. SIGNATURE

23. Somente o dono da chave secreta poderá alterar
informações contidas no token.

24. Sua representação
final ….

25. TOKEN JWT
HEADER
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
PAYLOAD
eyJpc3MiOiJodHRwOi8vbG9jYWxob3N0OjgwMDAvbG9naW4iLCJpYXQiOjE1MzE0MjA2MzYsImV4cCI6
MTUzMTYzNjYzNiwibmJmIjoxNTMxNDIwNjM2LCJqdGkiOiJRajNsSmRuc3h3UUZpVmUzIiwic3ViIjoxLCJ
wcnYiOiJmNWI5NzNkMjRlNDgxYWE1YzZiYmFjMTEzODIzZWQ5OWE0ZjU3ZjU4Iiwicm9sZSI6ImFkbWlu
In0
SIGNATURE
7efG13q_9uGBUjbmDTIFqv0-ok-Y-EO_syGFK

26. JWT
Considerações em torno de
segurança
●Sempre defina um algoritmo de criptografia no
header, nunca algo do tipo {‘alg’ :’ none’}.
●Situações que exigem mais cuidados considere o
uso de chaves públicas/privadas para assinatura.
●Maior segurança contra ataques do tipo ‘Man in
the middle’.
●Defina um tempo de expiração para o token que
seja aceitável para sua aplicação.
●Utilize técnicas de refresh e invalidate para os
tokens.

27. Implementando no
Laravel

29. Laravel JWT-AUTH
Pré requerimentos
Laravel 5.5.*
Jwt-auth 1.0.0-rc.1
Base de dados mysql/postgress ou outro
Instalação
composer create-project --prefer-dist laravel/laravel=5.5.* jwt-auth
composer require tymon/jwt-auth:1.0.0-rc.1

30. Laravel JWT-AUTH
Adicionar provider e aliases
Inserir os providers e aliases no arquivo app.php, localizado no diretório
/config
php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

32. Laravel JWT-AUTH
Publish
php artisan vendor:publish
--provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"
Este comando irá gerar o arquivo jwt.php, localizado no diretório
/config
php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

33. Laravel JWT-AUTH
Generate JWT Secret
php artisan jwt:secret
Este comando irá gerar uma chave secreta que será utilizada no processo
de encriptação do tokenovider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

34. Laravel JWT-AUTH
Configurando o arquivo config/auth.php
Os ajustes nesse arquivo se referem ao mecanismo de autenticação, e a
entidade de banco de dados utilizada para verificação de dados.

35. Laravel JWT-AUTH

36. Laravel JWT-AUTH
Criar model user e sua migration
php artisan make:model Domain/Admin/User --migration
Altere a estrutura da migration, para uma estrutura contendo nome,
email,
e senha. Em seguida devemos alterar a model que foi criada.

38. Laravel JWT-AUTH
Ajuste o model para poder usar JWT

40. Laravel JWT-AUTH
Criar o controller
php artisan make:controller /Admin/Auth
php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

42. Laravel JWT-AUTH
Adicionando middlewares default da biblioteca

43. Laravel JWT-AUTH
App/Http/Kernel.php

44. Laravel JWT-AUTH
Adicionando rotas em routes/api.php

45. Laravel JWT-AUTH
routes/api.php

46. Testando a geração de
token

48. Testando acesso com
o token

50. Manipulando JWT

51. Laravel JWT-AUTH
Configurando claims, e tempo de expiração
$token = auth()->guard(‘api’)
->claims(['role' => 'user'])
->setTTL(1800)
->attempt($credentials);
Cria um token adicionando a claim de role, e o tempo de expiração
baseado em segundos.
san vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

52. Laravel JWT-AUTH
Mais métodos...
auth()->logout(true);
$newToken = auth()->refresh(true, true);
auth()->invalidate(true);
auth()->payload();
san vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"

53. Referências
https://bit.ly/2pqH3M6
https://bit.ly/2NTS0ih
https://bit.ly/1Drghjd
https://bit.ly/1B0zHPH
https://bit.ly/2Ju40DQ
https://bit.ly/2L34kPe
https://bit.ly/2uurHqN
https://bit.ly/2LbBbkt
https://bit.ly/2utcztT
https://red.ht/2NvlnX6

54. OBRIGADO A
TODOS!
[email protected]
www.zarpsystem.com.br
github.com/bolinha1
/in/eduardo-cesar-oliveira
EDUARDO CESAR