¿Cómo le digo a JWT usando Laravel que el tiempo de vida del token dado dure, por ejemplo, 7 o 15 días? Ya que, solamente está siendo útil por el momento 1 hora.
En el archivo de configuración de JWT (config/jwt.php
) hay una entrada ttl
/*
|--------------------------------------------------------------------------
| JWT time to live
|--------------------------------------------------------------------------
|
| Specify the length of time (in minutes) that the token will be valid for.
| Defaults to 1 hour.
|
| You can also set this to null, to yield a never expiring token.
| Some people may want this behaviour for e.g. a mobile app.
| This is not particularly recommended, so make sure you have appropriate
| systems in place to revoke the token if necessary.
| Notice: If you set this to null you should remove 'exp' element from 'required_claims' list.
|
*/
'ttl' => env('JWT_TTL', 60),
Asimismo y si es posible, me gustaría saber cómo poder renovar el token del usuario sin que se dé cuenta y puedan seguir siendo válidas las llamadas a la api.
El paquete tymon/jwt-auth
te permite autenticar requests hechos desde un browser (por ejemplo para una SPA) leyendo una cookie con nombre token
que contiene lo que en un cliente API iría en el header Authentication
.
Si lo anterior es tu caso de uso, efectivamente puedes enviar una cookie en la respuesta que reemplace la existente y con eso efectivamente estarás renovando el token sin intervención del usuario. Por ejemplo podrías declarar un middleware (para los endpoints autenticados) en cuyo método handle
dijera:
public function handle(
$request,
Closure $next
) {
$response = $next($request);
$jwtGuard = auth('api');
$user = $jwtGuard->user();
$newToken = $jwtGuard->fromUser($user);
Cookie::queue('token', $newToken);
return $response;
}
donde lo que está ocurriendo es que -recuperando el usuario validado por el guard('api')- generamos otro token a nombre del mismo y encolamos la cookie. Cuando el browser recibe la cookie pisa su JWT actual con el que renovaste.
Si te fijas, este es un middleware que se ejecuta después del controller. Lo que sea que éste envíe como respuesta yo lo recibo en $response = $next($request)
, luego encolo la cookie y devuelvo lo mismo que hubiera respondido originalmente pero con una cookie renovada.
Esto es sólo una idea a modo de prueba de concepto. Creo que siempre es mejor que el refresco del token sea prerrogativa del usuario, o bien que extiendas tokens de muy larga duración o derechamente eternos.
También comentaré que si se trata de un cliente de API (por ejemplo Postman) el flujo conlleva un acto deliberado del cliente para leer el JWT de una respuesta JSON y ponerlo en los headers de sus siguientes peticiones. En ese escenario no hay cómo actualizarle su header subrepticiamente. Lo mismo pasaría si, desde el browser, se está usando por ejemplo Axios con un interceptor que se preocupa de añadir el header de autenticación, puesto que mientras éste se envíe la cookie es un ciudadano de segunda categoría.