1

Resulta que recien estoy usando el Slim(php) JwtAuthMiddleware de Tuupola. Todo me funciona bien, pero resulta que mi API acepta que un usuario inicie sesión en más de un dipositivo, por eso el token también es guardado en la DB en un tabla donde guardo además los datos del navegador y SO, quedando asociado el token al dispositivo.

El problema lo tengo cuando el token expira, deseo cerrar la sesión del usuario en ese dispositivo. Para eso utilizo el JwtAuthMiddleware de la siguiente manera:

$app->add(new \Tuupola\Middleware\JwtAuthentication([
    "attribute" => "jwt",
    'path' => ['/api'], // or ["/api", "/admin"]
    'secret' => $_ENV['JWT_SECRET'],
    'relaxed' => ['pruebas.loc'],
    'error' => function ($response, $arguments) { // aquí quiero que se cierre la sesión y despues muestre el error
      $errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
      return $errorResponse->getResponse();
    },
    "before" => function ($request, $arguments) {
      return $request->withAttribute("token", $arguments['token']);
  }
]));

Para gestionar la DB estoy usando ORM Doctrine. Tengo un LogoutService, donde cierro la sesión asociada al token que le envie, pero no logro pasar $app de slim al logoutService y poder cargar el EntityManager.

'error' => function ($response, $arguments) { // aquí quiero que se cierre la sesión y despues muestre el error
      $errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
      return $errorResponse->getResponse();
    }

En esta parte del middleware es donde devería llamar a mi LogoutService, pero tengo que pasarle el $container que tiene el EntityManager para poder trabajar con el modelo.

¿Existirá alguna vía o algún método más factible?

Aquí paso el middleware.php completo:

    return function (App $app) {
    $settings = $app->getContainer()->get('settings');

    // Add Routing Middleware
    $app->addRoutingMiddleware();

    // Add TrailingSlash Middleware "/user/" will become "/user"
    $app->add(new TrailingSlash(true));

    // Add Custom Error Handler
    $customErrorHandler = new ErrorHandlerMiddleware($app);
    $errorMiddleware = $app->addErrorMiddleware(
        $settings['error']['displayErrorDetails'],
        $settings['error']['logErrors'],
        $settings['error']['logErrorDetails']
    );
    $errorMiddleware->setDefaultErrorHandler($customErrorHandler);

    // Add JWT security for " /api/* " routes
    $app->add(new \Tuupola\Middleware\JwtAuthentication([
        "attribute" => "jwt",
        'path' => ['/api', '/system/admin'], // or ["/api", "/admin"]
        'secret' => $_ENV['JWT_SECRET'],
        'relaxed' => ['pruebas.loc'],
        'error' => function ($response, $arguments) {
          $errorResponse = new Response($response, $arguments['message'], $response->getStatusCode(), 'error');
          return $errorResponse->getResponse();
        },
        "before" => function ($request, $arguments) {
          return $request->withAttribute("token", $arguments['token']);
      }
    ]));
};

ACTUALIZO LA DUDA Y EXPLICO MEJOR

Con respecto a esto que me responden:

Con respecto a la regla de negocios que estableciste, que dicta que un JWT es válido para una IP y user-agent, no necesitas una tabla para comprobarlo. Puedes poner eso en los custom claims del JWT.

La idea mía es hacer que el usuario pueda tener más de una sesión iniciada de acuerdo al dispositivo (no a la IP). Por ejemplo como hace Télegram, que puedes tener una sesión inciada en la PC, otra en el movil, y otra en una tablet...

Hasta este punto todo está bien resuelto solo con el token, porque cada sesión tendría su propio token. El problema está a la hora de validar, puedo hacer esto:

"before" => function ($request, $arguments) {
 $payload = $request->getAttribute("jwt");
 if($payload['browser'] !== $request->getHeaderLine('user-agent')) {
      throw new \Exception('No me cuadra tu token!');
 }}

Dentro del middleware para comprobar el dispositivo, y de esta manera evito que el token del movil lo usern en el de la PC. Hasta allí todo bien, pero....

El problema lo tengo en que al usuario le muestro las sesiones activas, para eso registro en la DB, en una tabla session, el dispositivo de la sesión y el token asociado a este. Creo que me permitiría saber todas las sesiones abierta del usuario, y darle la posibilidad de cerrarlas, tal cual hace Telegram...

Entonces el problema radica en que si el token me es caducado retorna un error 401, que al llegar al frontend eliminaría el token existente, quedando la sesión cerrada del lado cliente, pero todavía sigue registrada en la DB..

La única manera que veo de resolver esto es que cuando entregue el error 401 (token expirado) verificar el dispositivo del cual se accede y compararlo con el que exista en la DB y eliminar entonces la sesión, pero esto no me sería muy eficiente, y no lo considero lo mejor... Por eso vengo en su ayuda, para tratar de comprender un poco este tipo de manejo de este middleware con JWT sobre todo en su devolución de error.

Aplicando la respuesta me sirvio mucho, pero me queda este problema sin resolver...

0

1 respuesta 1

0

Opción 1: usando use

Tuupola tiene un repo de ejemplo, slim-api-skeleton, donde declara el middleware de JWT en el contenedo como

 $container["JwtAuthentication"] = function ($container) {
    return new JwtAuthentication([
        "path" => "/",
        "ignore" => ["/token", "/info"],
       // etc etc 
        "error" => function ($response, $arguments) {
            return new UnauthorizedResponse($arguments["message"], 401);
        } 
    ]);
 };

Y luego lo añade en forma efectiva usando:

 $app->add("JwtAuthentication");

Cuando un middleware se declara con un string, la aplicación sigue un algoritmo de resolución que eventualmente llega al container y de él obtiene la instancia de JwtAuthentication.

Aunque no quieras usar esa sintaxis, lo importante está acá:

   "before" => function ($request, $arguments) use ($container) {
            $container["token"]->populate($arguments["decoded"]);
    }

En tu código bastaría con usar:

'error' => function ($response, $arguments) use ($app) {

      $logoutService = $app->container['LogoutService']; // o como sea que lo llames en otros lados.
      $logoutService->cerrarSesion();
      $errorResponse = new Response(...);
      return $errorResponse->getResponse();
    }

Y si tienes definido $container en el mismo script, derechamente puedes usar

 'error' => function ($response, $arguments) use ($container) {
   ...
 }

Opción 2, extendiendo Application o Container

Podrías declarar una clase que extienda Application tal que permita usarla como un singleton. Algo como:

class CustomApplication extends \Slim\Application

  private static $instance=null;

  public static function getInstance(array $config=[]) {
     if(static::$instance === null) {
       static::$instance = new static($config);
     }
     return static::$instance;
  }
}

Y en donde ahora tienes

$app = new \Slim\Application($config);

Usarías

$app = CustomApplication::getInstance($config);

Con esto podrías llamar a la aplicación desde cualquier parte

'error' => function ($response, $arguments)   {
      $app = CustomApplication::getInstance(); // Laravel style
     // etc etc 
      return $errorResponse->getResponse();
    }

Otros comentarios

Me parece que usar JWT como identificador de sesión es un antipatrón. Tu api es stateless o no lo es. Me da la impresión de que tu implementación actual implica verificaciones redundantes que podrías evitar sin grandes cambios: básicamente que el frontend elimine su JWT cuando vea que el backend lo rechazó.

Con respecto a la regla de negocios que estableciste, que dicta que un JWT es válido para una IP y user-agent, no necesitas una tabla para comprobarlo. Puedes poner eso en los custom claims del JWT. Tal como se muestra en el README del middleware, donde el payload tiene un atributo scope

[
    "iat" => "1428819941",
    "exp" => "1744352741",
    "scope" => ["read", "write", "delete"]
]

Tú podrías generar tu JWT con la IP y el user-agent. Un ejemplo muy burdo, usando la librería de Firebase:

 $app->post('/login', function(Request $request, Response $response) {
     $claims = [
       'iat' => time(),
       'exp' => time()+14400,
       'username' => $request->getBodyParam('username'),
       'ip' =>   $request->getServerParam('REMOTE_ADDR'),
       'browser'=> $request->getHeaderLine('user-agent')
     ];

     $jwt = \Firebase\JWT\JWT::encode(
                          $claims, PRIVATE_KEY, 'RS256'
             );

     return $response->withJson(['token' => $jwt]);
  });

Y verificar su cumplimiento usando el closure before del middleware:

"before" => function ($request, $arguments) {
     $payload = $request->getAttribute("jwt");
     if(
          $payload['ip'] !== $request->getServerParam('REMOTE_ADDR')
          || $payload['browser'] !== $request->getHeaderLine('user-agent')
      ) {
          throw new \Exception('No me cuadra tu token!');
     }
 }
2
  • Muchas gracias por la respuesta tan acertada, implementaré lo que dices, realmente me es de mucísima ayuda...... el 30 jun. 2021 a las 16:17
  • aplicando tu acertada respuesta actualizo mi pregunta... el 3 jul. 2021 a las 15:19

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.