Projects [SHOW]

Configuration

Database Preparation

Before using the token driver, you will need to create a migration which adds an api_token column to your users table:

Schema::table('users', function ($table) {
    $table->string('api_token', 80)->after('password')
                        ->unique()
                        ->nullable()
                        ->default(null);
});

Sobald die Migration erstellt wurde, führen Sie den Artisan-Befehl migrate aus.

Generating Tokens

Sobald die Spalte api_token zu Ihrer Benutzertabelle hinzugefügt wurde, können Sie jedem User, der sich bei Ihrer Anwendung registriert, zufällige API-Token zuweisen. Sie sollten diese Token zuweisen, wenn bei der Registrierung ein User-Modell für den Benutzer erstellt wird. Bei Verwendung des authentication scaffolding, das durch den make:auth Artisan-Befehl bereitgestellt wird, kann dies in der create-Methode des RegisterControllers erfolgen:

use Illuminate\Support\Str;
use Illuminate\Support\Facades\Hash;

/**
 * Create a new user instance after a valid registration.
 *
 * @param  array  $data
 * @return \App\User
 */
protected function create(array $data)
{
    return User::create([
        'name' => $data['name'],
        'email' => $data['email'],
        'password' => Hash::make($data['password']),
        'api_token' => Str::random(60),
    ]);
}

Hashing Tokens

In den obigen Beispielen werden die API-Token als Klartext in Ihrer Datenbank gespeichert. Wenn Sie Ihre API-Token mit SHA-256-Hashing hashen möchten, können Sie die Hash-Option Ihrer api-guard-Konfiguration auf true setzen. Der api guard ist in Ihrer Konfigurationsdatei config/auth.php definiert:

'api' => [
    'driver' => 'token',
    'provider' => 'users',
    'hash' => true,
],

Generating Hashed Tokens

Bei der Verwendung von gehashten API-Token sollten Sie Ihre API-Token nicht während der Benutzerregistrierung generieren. Stattdessen müssen Sie Ihre eigene API-Token-Verwaltungsseite innerhalb Ihrer Anwendung implementieren. Diese Seite sollte es den Benutzern ermöglichen, ihr API-Token zu initialisieren und zu aktualisieren. Wenn ein Benutzer eine Anfrage zur Initialisierung oder Aktualisierung seines Tokens stellt, sollten Sie eine gehashte Kopie des Tokens in der Datenbank speichern und die Klartext-Kopie des Tokens zur einmaligen Anzeige an den View/Frontend-Client zurückgeben.

Beispielsweise könnte eine Controller-Methode, die das Token für einen bestimmten Benutzer initialisiert / auffrischt und das Klartext-Token als JSON-Antwort zurückgibt, wie folgt aussehen:

<?php

namespace App\Http\Controllers;

use Illuminate\Support\Str;
use Illuminate\Http\Request;

class ApiTokenController extends Controller
{
    /**
     * Update the authenticated user's API token.
     *
     * @param  \Illuminate\Http\Request  $request
     * @return array
     */
    public function update(Request $request)
    {
        $token = Str::random(60);

        $request->user()->forceFill([
            'api_token' => hash('sha256', $token),
        ])->save();

        return ['token' => $token];
    }
}

Protecting Routes

Laravel enthält einen authentication guard, der automatisch API-Token bei eingehenden Anfragen validiert. Sie müssen nur die auth:api-Middleware auf jeder Route angeben, die ein gültiges Zugriffstoken benötigt:

use Illuminate\Http\Request;

Route::middleware('auth:api')->get('/user', function(Request $request) {
    return $request->user();
});

Passing Tokens In Requests

Es gibt mehrere Möglichkeiten, das API-Token an Ihre Anwendung zu übergeben. Wir werden jede dieser Methoden besprechen, während wir die Guzzle HTTP-Bibliothek verwenden, um ihre Verwendung zu demonstrieren. Sie können jede dieser Methoden auf der Grundlage der Anforderungen Ihrer Anwendung wählen.

Query String

Die API-Konsumenten Ihrer Anwendung können ihr Token als api_token-Abfragezeichenfolgewert angeben:

$response = $client->request('GET', '/api/user?api_token='.$token);

Request Payload

Die API-Konsumenten Ihrer Anwendung können ihr API-Token als api_token in den Formularparametern der Anfrage angeben:

$response = $client->request('POST', '/api/user', [
    'headers' => [
        'Accept' => 'application/json',
    ],
    'form_params' => [
        'api_token' => $token,
    ],
]);

Bearer Token

Die API-Konsumenten Ihrer Anwendung können ihr API-Token als Bearer-Token im Autorisierungs-Header der Anforderung bereitstellen:

$response = $client->request('POST', '/api/user', [
    'headers' => [
        'Authorization' => 'Bearer '.$token,
        'Accept' => 'application/json',
    ],
]);