Por Evan Sims
En esta guía se muestra cómo integrar Auth0 con una API de backend en PHP mediante el SDK de PHP de Auth0. Le recomendamos iniciar sesión para seguir esta guía de inicio rápido con ejemplos configurados para su cuenta.
En la sección APIs del Auth0 Dashboard, haga clic en Create API. Proporcione un nombre y un identificador para su API, por ejemplo, https://quickstarts/api. Más adelante, usará el identificador como audience al configurar la verificación del Token de acceso. Deje Signing Algorithm en RS256.
De forma predeterminada, su API usa RS256 como algoritmo para firmar tokens. Como RS256 usa un par de claves privada/pública, los tokens se verifican con la clave pública de su cuenta de Auth0. La clave pública está en formato JSON Web Key Set (JWKS) y puede acceder a ella aquí.
Los permisos le permiten definir cómo se puede acceder a los recursos en nombre del usuario con un token de acceso determinado. Por ejemplo, puede optar por conceder acceso de lectura al recurso messages si los usuarios tienen el nivel de acceso de gerente, y acceso de escritura a ese recurso si tienen el nivel de acceso de administrador.
Puede definir los permisos permitidos en la vista Permissions de la sección APIs de Auth0 Dashboard.
Este ejemplo usa el scope read:messages.
- Cómo comprobar si hay un JWT en el encabezado
Authorization de una solicitud HTTP entrante.
- Cómo comprobar si el token es válido mediante el JSON Web Key Set (JWKS) de su cuenta de Auth0. Para obtener más información sobre cómo validar tokens de acceso, consulte Validate Access Tokens.
Integración de la API de backend en PHP
Instalación del cliente HTTP y las fábricas de mensajería
composer require guzzlehttp/guzzle guzzlehttp/psr7 http-interop/http-factory-guzzle
Instalación del SDK de PHP
composer require auth0/auth0-php
vendor dentro de tu proyecto y descargará todas las dependencias necesarias para usar el SDK de PHP de Auth0. También creará un archivo vendor/autoload.php, que se usa en el ejemplo para cargar todas las clases necesarias para que tu aplicación funcione. Es importante que incluyas este archivo de carga automática en tu proyecto para que el SDK funcione.
Para empezar, crea un archivo .env en la raíz del directorio de tu proyecto para almacenar la configuración de nuestra aplicación de ejemplo y completar las variables de entorno:
Como PHP no puede leer por sí solo nuestro archivo .env, necesitaremos instalar una biblioteca que nos ayude. Aunque para nuestra aplicación de ejemplo usaremos una biblioteca concreta, en una aplicación real funcionará cualquier cargador de ‘dotenv’ que prefieras. Desde el directorio de nuestro proyecto, ejecuta el siguiente comando de shell para instalar la biblioteca:
composer require vlucas/phpdotenv
index.php, y a configurar una instancia del SDK de PHP de Auth0 para nuestra aplicación de ejemplo:
<?php
// Importar el Autoloader de Composer para que las clases del SDK sean accesibles:
require 'vendor/autoload.php';
// Cargar las variables de entorno desde el archivo .env:
(Dotenv\Dotenv::createImmutable(__DIR__))->load();
// Instanciar la clase Auth0 con nuestra configuración:
$auth0 = new \Auth0\SDK\Auth0([
'strategy' => \Auth0\SDK\Configuration\SdkConfiguration::STRATEGY_API,
'domain' => $_ENV['AUTH0_DOMAIN'],
'clientId' => $_ENV['AUTH0_CLIENT_ID'],
'clientSecret' => $_ENV['AUTH0_CLIENT_SECRET'],
'audience' => ($_ENV['AUTH0_AUDIENCE'] ?? null) !== null ? [trim($_ENV['AUTH0_AUDIENCE'])] : null,
]);
Autenticación del usuario
Autorizar un token de acceso
?token en una solicitud GET o en las cabeceras HTTP_AUTHORIZATION o Authorization.
// 👆 Continuamos desde los pasos anteriores. Añade esto a tu archivo index.php.
$jwt = $_GET['token'] ?? $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['Authorization'] ?? null;
// 👆 Continuamos desde los pasos anteriores. Añade esto a tu archivo index.php.
// Si hay un token presente, procesarlo.
if ($jwt !== null) {
// Eliminar espacios en blanco de la cadena del token.
$jwt = trim($jwt);
// Eliminar el prefijo 'Bearer ' si está presente, en caso de que el encabezado Authorization lo incluya.
if (substr($jwt, 0, 7) === 'Bearer ') {
$jwt = substr($jwt, 7);
}
// Intentar decodificar el token:
try {
$token = $auth0->decode($jwt, null, null, null, null, null, null, \Auth0\SDK\Token::TYPE_TOKEN);
define('ENDPOINT_AUTHORIZED', true);
} catch (\Auth0\SDK\Exception\InvalidTokenException $exception) {
// El token no era válido. Mostrar el mensaje de error del SDK de Auth0.
// En una aplicación real, probablemente se querría mostrar un error personalizado.
die($exception->getMessage());
}
}
// 👆 Continuamos desde los pasos anteriores. Añade esto a tu archivo index.php.
// ¿Está autorizada la solicitud?
if (defined('ENDPOINT_AUTHORIZED')) {
// Responder con una respuesta JSON:
echo json_encode([
'authorized' => true,
'data' => $token->toArray()
], JSON_PRETTY_PRINT);
exit;
}
// Devolver un estado HTTP 401 No autorizado:
http_response_code(401);
// Responder con una respuesta JSON:
echo json_encode([
'authorized' => false,
'error' => [
'message' => 'You are NOT authorized to be here!'
]
], JSON_PRETTY_PRINT);
composer require symfony/cache
// ✋ Inserta esto ANTES del manejo de tokens que agregamos en el paso anterior, para que el SDK utilice la caché.
$tokenCache = new \Symfony\Component\Cache\Adapter\FilesystemAdapter();
$auth0->configuration()->setTokenCache($tokenCache);
¿Qué puedes hacer a continuación?
Authenticate
Manage Users
Customize
Auth0 AI
Platform
