0

Tengo entendido que el token que genera JWT tiene un tiempo de vida. Esto lo puedo notar en el AuthController

    return [
        'access_token' => $token,
        'token_type' => 'bearer',
        'expires_in' => auth()->factory()->getTTL() * 60,
        'user' => $user
    ];

¿Cómo le digo a JWT usando Laravel que el tiempo de vida del token dado dure, por ejemplo, 7 o 15 días? Ya que, solamente está siendo útil por el momento 1 hora.

Asimismo y si es posible, me gustaría saber cómo poder renovar el token del usuario sin que se dé cuenta y puedan seguir siendo válidas las llamadas a la api.

Gracias.

1
  • Estos tokens los usas para API o también fijas una cookie para el uso via web?
    – ffflabs
    el 2 mar. 2021 a las 20:44

1 respuesta 1

0

¿Cómo le digo a JWT usando Laravel que el tiempo de vida del token dado dure, por ejemplo, 7 o 15 días? Ya que, solamente está siendo útil por el momento 1 hora.

En el archivo de configuración de JWT (config/jwt.php) hay una entrada ttl

/*
|--------------------------------------------------------------------------
| JWT time to live
|--------------------------------------------------------------------------
|
| Specify the length of time (in minutes) that the token will be valid for.
| Defaults to 1 hour.
|
| You can also set this to null, to yield a never expiring token.
| Some people may want this behaviour for e.g. a mobile app.
| This is not particularly recommended, so make sure you have appropriate
| systems in place to revoke the token if necessary.
| Notice: If you set this to null you should remove 'exp' element from 'required_claims' list.
|
 */

'ttl' => env('JWT_TTL', 60),

Asimismo y si es posible, me gustaría saber cómo poder renovar el token del usuario sin que se dé cuenta y puedan seguir siendo válidas las llamadas a la api.

El paquete tymon/jwt-auth te permite autenticar requests hechos desde un browser (por ejemplo para una SPA) leyendo una cookie con nombre token que contiene lo que en un cliente API iría en el header Authentication.

Si lo anterior es tu caso de uso, efectivamente puedes enviar una cookie en la respuesta que reemplace la existente y con eso efectivamente estarás renovando el token sin intervención del usuario. Por ejemplo podrías declarar un middleware (para los endpoints autenticados) en cuyo método handle dijera:

public function handle(
    $request,
    Closure $next
) {
    $response = $next($request);

    $jwtGuard = auth('api');
    $user = $jwtGuard->user();

    $newToken = $jwtGuard->fromUser($user);

    Cookie::queue('token', $newToken);
    return $response;
}

donde lo que está ocurriendo es que -recuperando el usuario validado por el guard('api')- generamos otro token a nombre del mismo y encolamos la cookie. Cuando el browser recibe la cookie pisa su JWT actual con el que renovaste.

Si te fijas, este es un middleware que se ejecuta después del controller. Lo que sea que éste envíe como respuesta yo lo recibo en $response = $next($request), luego encolo la cookie y devuelvo lo mismo que hubiera respondido originalmente pero con una cookie renovada.

Esto es sólo una idea a modo de prueba de concepto. Creo que siempre es mejor que el refresco del token sea prerrogativa del usuario, o bien que extiendas tokens de muy larga duración o derechamente eternos.

También comentaré que si se trata de un cliente de API (por ejemplo Postman) el flujo conlleva un acto deliberado del cliente para leer el JWT de una respuesta JSON y ponerlo en los headers de sus siguientes peticiones. En ese escenario no hay cómo actualizarle su header subrepticiamente. Lo mismo pasaría si, desde el browser, se está usando por ejemplo Axios con un interceptor que se preocupa de añadir el header de autenticación, puesto que mientras éste se envíe la cookie es un ciudadano de segunda categoría.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.