Par Evan Sims
Ce guide montre comment intégrer Auth0 à une API backend en PHP à l’aide du SDK PHP d’Auth0. Nous vous recommandons de vous connecter pour suivre ce guide de démarrage rapide avec des exemples configurés pour votre compte.
Dans la section APIs de l’Auth0 Dashboard, cliquez sur Create API. Entrez un nom et un identifiant pour votre API, par exemple https://quickstarts/api. Vous utiliserez ensuite cet identifiant comme audience lors de la configuration de la vérification du Jeton d’accès. Laissez Signing Algorithm à RS256.
Par défaut, votre API utilise RS256 comme algorithme de signature des jetons. Comme RS256 utilise une paire de clés publique/privée, les jetons sont vérifiés à l’aide de la clé publique de votre compte Auth0. La clé publique est au format JSON Web Key Set (JWKS) et est accessible ici.
Définir les autorisations
messages si les utilisateurs ont le niveau d’accès de gestionnaire, et un accès en écriture à cette ressource s’ils ont le niveau d’accès d’administrateur.
Vous pouvez définir les autorisations permises dans la vue Permissions de la section APIs de l’Auth0 Dashboard.
Cet exemple utilise le scope read:messages.
- Comment vérifier la présence d’un JSON Web Token (JWT) dans l’en-tête
Authorization d’une requête HTTP entrante.
- Comment vérifier si le jeton est valide à l’aide du jeu de clés Web JSON (JWKS) de votre compte Auth0. Pour en savoir plus sur la validation des jetons d’accès, consultez Valider les jetons d’accès.
Intégrer votre API PHP backend
Installation du client HTTP et des fabriques de messages
composer require guzzlehttp/guzzle guzzlehttp/psr7 http-interop/http-factory-guzzle
composer require auth0/auth0-php
vendor dans votre projet et téléchargera toutes les dépendances nécessaires pour utiliser le SDK PHP d’Auth0. Elle créera également un fichier vendor/autoload.php, utilisé dans l’exemple pour charger toutes les classes nécessaires au bon fonctionnement de votre application. Il est important d’inclure ce fichier autoload dans votre projet pour que le SDK fonctionne.
Pour commencer, créons un fichier .env à la racine du répertoire de votre projet pour y stocker la configuration de notre application exemple et y définir les variables d’environnement :
Comme PHP ne peut pas lire notre fichier .env à lui seul, nous devons installer une bibliothèque pour nous aider. Bien que nous utilisions une bibliothèque précise pour les besoins de notre application d’exemple, n’importe quel chargeur ‘dotenv’ conviendra dans une application réelle. À partir du répertoire de notre projet, exécutez la commande shell suivante pour installer la bibliothèque :
composer require vlucas/phpdotenv
index.php, puis configurons une instance du SDK PHP d’Auth0 pour notre application d’exemple :
<?php
// Importer le chargeur automatique Composer pour rendre les classes du SDK accessibles :
require 'vendor/autoload.php';
// Charger nos variables d'environnement depuis le fichier .env :
(Dotenv\Dotenv::createImmutable(__DIR__))->load();
// Instancier maintenant la classe Auth0 avec notre configuration :
$auth0 = new \Auth0\SDK\Auth0([
'strategy' => \Auth0\SDK\Configuration\SdkConfiguration::STRATEGY_API,
'domain' => $_ENV['AUTH0_DOMAIN'],
'clientId' => $_ENV['AUTH0_CLIENT_ID'],
'clientSecret' => $_ENV['AUTH0_CLIENT_SECRET'],
'audience' => ($_ENV['AUTH0_AUDIENCE'] ?? null) !== null ? [trim($_ENV['AUTH0_AUDIENCE'])] : null,
]);
Authentification de l’utilisateur
Autoriser un jeton d’accès
?token dans une requête GET, ou un en-tête HTTP_AUTHORIZATION ou Authorization.
// 👆 Nous continuons à partir des étapes précédentes. Ajoutez ceci à votre fichier index.php.
$jwt = $_GET['token'] ?? $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['Authorization'] ?? null;
// 👆 Nous continuons à partir des étapes précédentes. Ajoutez ceci à votre fichier index.php.
// Si un jeton est présent, le traiter.
if ($jwt !== null) {
// Supprimer les espaces en début et fin de la chaîne du jeton.
$jwt = trim($jwt);
// Supprimer le préfixe 'Bearer ' s'il est présent, dans le cas où nous recevrions un en-tête Authorization qui l'utilise.
if (substr($jwt, 0, 7) === 'Bearer ') {
$jwt = substr($jwt, 7);
}
// Tenter de décoder le jeton :
try {
$token = $auth0->decode($jwt, null, null, null, null, null, null, \Auth0\SDK\Token::TYPE_TOKEN);
define('ENDPOINT_AUTHORIZED', true);
} catch (\Auth0\SDK\Exception\InvalidTokenException $exception) {
// Le jeton n'était pas valide. Affichons le message d'erreur du SDK Auth0.
// Dans une application réelle, on voudrait probablement afficher une erreur personnalisée ici.
die($exception->getMessage());
}
}
// 👆 Nous continuons à partir des étapes précédentes. Ajoutez ceci à votre fichier index.php.
// La requête est-elle autorisée ?
if (defined('ENDPOINT_AUTHORIZED')) {
// Répondre avec une réponse JSON :
echo json_encode([
'authorized' => true,
'data' => $token->toArray()
], JSON_PRETTY_PRINT);
exit;
}
// Retourner un statut HTTP 401 Non autorisé :
http_response_code(401);
// Répondre avec une réponse JSON :
echo json_encode([
'authorized' => false,
'error' => [
'message' => 'You are NOT authorized to be here!'
]
], JSON_PRETTY_PRINT);
composer require symfony/cache
// ✋ Insérez ceci AVANT la gestion des jetons ajoutée à l'étape ci-dessus, afin que le SDK utilise le cache.
$tokenCache = new \Symfony\Component\Cache\Adapter\FilesystemAdapter();
$auth0->configuration()->setTokenCache($tokenCache);
Que pouvez-vous faire ensuite ?
Authenticate
Manage Users
Customize
Auth0 AI
Platform
