Valider les JWT (JSON Web Tokens)

Utilisez la classe Token du SDK Auth0-PHP pour analyser, vérifier et valider les JSON Web Tokens HS256 et RS256 dans votre application PHP.

Le SDK Auth0 PHP fournit une classe Auth0\SDK\Token utilisée pour traiter les JSON Web Tokens (JWT). Elle vous permet de décoder, de valider et de vérifier des jetons à utiliser dans votre application. Vous trouverez plus d’information sur les JWT ainsi que sur la façon de les créer et de les décoder sur jwt.io.

La classe peut traiter à la fois les jetons HS256 et RS256. Les deux types exigent que l’algorithme et les audiences valides soient configurés dans le SDK avant le traitement. Les jetons HS256 exigent que le client secret soit configuré. Les jetons RS256 exigent un issuer autorisé, qui sert à récupérer un fichier JWKs pendant le processus de décodage. (Pour en savoir plus sur les algorithmes de signature, consultez cet article.)

​

Prérequis

La documentation ci-dessous suppose que vous avez suivi les étapes du guide de démarrage PHP et que vous reprenez à partir du code qui s’y trouve.

​

Exemple d’utilisation

Voici un exemple de petit processeur de JSON Web Token basé sur les URL, à partir de la classe Token du SDK.

<?php

// Importation du chargeur automatique Composer pour rendre les classes du SDK accessibles :
require 'vendor/autoload.php';

// Chargement des variables d'environnement depuis le fichier .env :
(Dotenv\Dotenv::createImmutable(__DIR__))->load();

$token = filter_var($_GET['token'] ?? null, FILTER_UNSAFE_RAW, FILTER_NULL_ON_FAILURE);
$algorithm = filter_var($_GET['algorithm'] ?? 'HS256', FILTER_UNSAFE_RAW, FILTER_NULL_ON_FAILURE);

if ($token === null) {
    die('No `token` request parameter.');
}

if (! in_array($algorithm, ['HS256', 'RS256'])) {
    die('Invalid `algorithm` supplied.');
}

// Le SDK Auth0 inclut un utilitaire pratique de traitement de jeton que nous utiliserons ici :
$configuration = new \Auth0\SDK\Configuration\SdkConfiguration([
    'strategy'       => \Auth0\SDK\Configuration\SdkConfiguration::STRATEGY_NONE,
    'domain'         => $_ENV['AUTH0_DOMAIN'],
    'clientId'       => $_ENV['AUTH0_CLIENT_ID'],
    'clientSecret'   => $_ENV['AUTH0_CLIENT_SECRET'],
    'tokenAlgorithm' => $algorithm,
]);

$token = new \Auth0\SDK\Token($configuration, $token, \Auth0\SDK\Token::TYPE_ID_TOKEN);

// Vérification du jeton : (Cela lèvera une \Auth0\SDK\Exception\InvalidTokenException si la vérification échoue.)
$token->verify();

// Validation des claims du jeton : (Cela lèvera une \Auth0\SDK\Exception\InvalidTokenException si la validation échoue.)
$token->validate();

echo '<pre>';
print_r($token->toArray());
echo '</pre>';

Les méthodes verify() et validate() acceptent toutes deux plusieurs arguments d’options permettant de personnaliser leur comportement, notamment la validation des claims nonce, la restriction du délai maximal depuis le auth_time d’un jeton, la tolérance d’horloge leeway pour les vérifications liées au temps, et bien plus encore. Ces méthodes sont entièrement commentées, ce qui vous permet d’examiner ces options soit dans le code source, soit dans l’IDE de votre choix.

​

En savoir plus

• Gérer le login, le logout et les profils utilisateur
• Utiliser l’Authentication API
• Utiliser la Management API
• Résoudre les problèmes liés à votre intégration Auth0-PHP