JWT（JSON Web トークン）をバリデーションする

Auth0-PHP SDK の Token クラスを使用して、PHP アプリケーション内で HS256 および RS256 JSON Web トークンを解析、検証、バリデーションします。

Auth0 PHP SDK は、JSON Web トークン (JWT) を処理するための Auth0\SDK\Token クラスを提供しています。これにより、アプリケーションで使用するトークンのデコード、バリデーション、検証を行えます。JWT の詳細や、その構築方法とデコード方法については、jwt.io を参照してください。

このクラスは、HS256 トークンと RS256 トークンの両方を処理できます。どちらの種類でも、処理前にアルゴリズムと有効な audience を SDK に設定しておく必要があります。HS256 トークンでは、client secret を設定する必要があります。RS256 トークンでは、デコード処理中に JWKs ファイルを取得するために使用する、認可された発行者が必要です。 (署名アルゴリズムの詳細はこちら) 。

​

前提条件

以下のドキュメントは、PHP Getting started ガイド の手順を完了し、そこで提供されているコードをもとに進めることを前提としています。

​

使用例

以下は、SDK の Token クラスをベースにした、URL ベースの小規模な JSON Web トークンプロセッサの例です。

<?php

// Composer AutoloaderをインポートしてSDKクラスにアクセスできるようにします:
require 'vendor/autoload.php';

// .envファイルから環境変数を読み込みます:
(Dotenv\Dotenv::createImmutable(__DIR__))->load();

$token = filter_var($_GET['token'] ?? null, FILTER_UNSAFE_RAW, FILTER_NULL_ON_FAILURE);
$algorithm = filter_var($_GET['algorithm'] ?? 'HS256', FILTER_UNSAFE_RAW, FILTER_NULL_ON_FAILURE);

if ($token === null) {
    die('No `token` request parameter.');
}

if (! in_array($algorithm, ['HS256', 'RS256'])) {
    die('Invalid `algorithm` supplied.');
}

// Auth0 SDKには、ここで使用できる便利なトークン処理ユーティリティが含まれています:
$configuration = new \Auth0\SDK\Configuration\SdkConfiguration([
    'strategy'       => \Auth0\SDK\Configuration\SdkConfiguration::STRATEGY_NONE,
    'domain'         => $_ENV['AUTH0_DOMAIN'],
    'clientId'       => $_ENV['AUTH0_CLIENT_ID'],
    'clientSecret'   => $_ENV['AUTH0_CLIENT_SECRET'],
    'tokenAlgorithm' => $algorithm,
]);

$token = new \Auth0\SDK\Token($configuration, $token, \Auth0\SDK\Token::TYPE_ID_TOKEN);

// トークンを検証します: (検証に失敗した場合、\Auth0\SDK\Exception\InvalidTokenException がスローされます。)
$token->verify();

// トークンのクレームをバリデーションします: (バリデーションに失敗した場合、\Auth0\SDK\Exception\InvalidTokenException がスローされます。)
$token->validate();

echo '<pre>';
print_r($token->toArray());
echo '</pre>';

verify() と validate() はどちらも、動作をカスタマイズするためのさまざまなオプション引数を備えています。たとえば、nonce クレームの検証、トークンの auth_time からの最大経過時間の制限、時間チェックにおける leeway のクロック許容差の設定などがあります。これらのメソッドには詳しいコメントが付いているため、ソースコードまたはお使いの IDE から各オプションを確認できます。

​

詳細情報

• Login、Logout、ユーザープロファイルを管理する
• Authentication API を使用する
• Management API を使用する
• Auth0-PHP 連携のトラブルシューティング