Resulta que recien estoy usando el Slim(php) JwtAuthMiddleware de Tuupola. Todo me funciona bien, pero resulta que mi API acepta que un usuario inicie sesión en más de un dipositivo, por eso el token también es guardado en la DB en un tabla donde guardo además los datos del navegador y SO, quedando asociado el token al dispositivo.
El problema lo tengo cuando el token expira, deseo cerrar la sesión del usuario en ese dispositivo. Para eso utilizo el JwtAuthMiddleware de la siguiente manera:
$app->add(new \Tuupola\Middleware\JwtAuthentication([
"attribute" => "jwt",
'path' => ['/api'], // or ["/api", "/admin"]
'secret' => $_ENV['JWT_SECRET'],
'relaxed' => ['pruebas.loc'],
'error' => function ($response, $arguments) { // aquí quiero que se cierre la sesión y despues muestre el error
$errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
return $errorResponse->getResponse();
},
"before" => function ($request, $arguments) {
return $request->withAttribute("token", $arguments['token']);
}
]));
Para gestionar la DB estoy usando ORM Doctrine. Tengo un LogoutService, donde cierro la sesión asociada al token que le envie, pero no logro pasar $app
de slim al logoutService y poder cargar el EntityManager.
'error' => function ($response, $arguments) { // aquí quiero que se cierre la sesión y despues muestre el error
$errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
return $errorResponse->getResponse();
}
En esta parte del middleware es donde devería llamar a mi LogoutService, pero tengo que pasarle el $container
que tiene el EntityManager para poder trabajar con el modelo.
¿Existirá alguna vía o algún método más factible?
Aquí paso el middleware.php
completo:
return function (App $app) {
$settings = $app->getContainer()->get('settings');
// Add Routing Middleware
$app->addRoutingMiddleware();
// Add TrailingSlash Middleware "/user/" will become "/user"
$app->add(new TrailingSlash(true));
// Add Custom Error Handler
$customErrorHandler = new ErrorHandlerMiddleware($app);
$errorMiddleware = $app->addErrorMiddleware(
$settings['error']['displayErrorDetails'],
$settings['error']['logErrors'],
$settings['error']['logErrorDetails']
);
$errorMiddleware->setDefaultErrorHandler($customErrorHandler);
// Add JWT security for " /api/* " routes
$app->add(new \Tuupola\Middleware\JwtAuthentication([
"attribute" => "jwt",
'path' => ['/api', '/system/admin'], // or ["/api", "/admin"]
'secret' => $_ENV['JWT_SECRET'],
'relaxed' => ['pruebas.loc'],
'error' => function ($response, $arguments) {
$errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
return $errorResponse->getResponse();
},
"before" => function ($request, $arguments) {
return $request->withAttribute("token", $arguments['token']);
}
]));
};
ACTUALIZO LA DUDA Y EXPLICO MEJOR
Con respecto a esto que me responden:
Con respecto a la regla de negocios que estableciste, que dicta que un JWT es válido para una IP y user-agent, no necesitas una tabla para comprobarlo. Puedes poner eso en los custom claims del JWT.
La idea mía es hacer que el usuario pueda tener más de una sesión iniciada de acuerdo al dispositivo (no a la IP). Por ejemplo como hace Télegram, que puedes tener una sesión inciada en la PC, otra en el movil, y otra en una tablet...
Hasta este punto todo está bien resuelto solo con el token, porque cada sesión tendría su propio token. El problema está a la hora de validar, puedo hacer esto:
"before" => function ($request, $arguments) {
$payload = $request->getAttribute("jwt");
if($payload['browser'] !== $request->getHeaderLine('user-agent')) {
throw new \Exception('No me cuadra tu token!');
}}
Dentro del middleware para comprobar el dispositivo, y de esta manera evito que el token del movil lo usern en el de la PC. Hasta allí todo bien, pero....
El problema lo tengo en que al usuario le muestro las sesiones activas, para eso registro en la DB, en una tabla session, el dispositivo de la sesión y el token asociado a este. Creo que me permitiría saber todas las sesiones abierta del usuario, y darle la posibilidad de cerrarlas, tal cual hace Telegram...
Entonces el problema radica en que si el token me es caducado retorna un error 401, que al llegar al frontend eliminaría el token existente, quedando la sesión cerrada del lado cliente, pero todavía sigue registrada en la DB..
La única manera que veo de resolver esto es que cuando entregue el error 401 (token expirado) verificar el dispositivo del cual se accede y compararlo con el que exista en la DB y eliminar entonces la sesión, pero esto no me sería muy eficiente, y no lo considero lo mejor... Por eso vengo en su ayuda, para tratar de comprender un poco este tipo de manejo de este middleware con JWT sobre todo en su devolución de error.
Aplicando la respuesta me sirvio mucho, pero me queda este problema sin resolver...