Авторизация в системе

<?php
// Это оригинальный контроллер из vesp/core
namespace Vesp\Controllers\Security;

use Psr\Http\Message\ResponseInterface;
use Vesp\Controllers\Controller;
use Vesp\Helpers\Jwt;
use Vesp\Models\User;

class Login extends Controller
{
    // Контроллер работает с моделью User
    protected $model = User::class;

    // Обращаться можно только методом POST
    public function post(): ResponseInterface
    {
        // для авторизации требуются username и password
        $username = trim($this->getProperty('username', ''));
        $password = trim($this->getProperty('password', ''));

        // Выбираем пользователя по username
        $user = (new $this->model())->newQuery()->where('username', $username)->first();
        // Если есть такой, и указан верный пароль
        if ($user && $user->verifyPassword($password)) {
            // Проверяем его статус, и возвращаем токен, или ошибку
            return !$user->active
                ? $this->failure('This user is not active', 403)
                : $this->success(['token' => Jwt::makeToken($user->id)]);
        }

        // Авторизовать не удалось - возвращаем ошибку
        return $this->failure('Wrong username or password');
    }
}

public static function makeToken(int $id, array $add = []): string
{
    // В токен пишется только самый минимум информации
    $time = time();
    $data = [
        'id' => $id, // id пользователя
        'iat' => $time, // время выпуска токена
        'exp' => $time + getenv('JWT_EXPIRE'), // и срок годности, в зависимости от настроек
    ];

    // Кодирование токена по стандарту занимается сторонная библиотека
    // В качестве секретной подписи используется наша настройка из .env
    return FirebaseJWT::encode(array_merge($data, $add), getenv('JWT_SECRET'));
}

Расширенная авторизация

<?php

namespace App\Controllers\Security;

use App\Models\UserToken;
use Psr\Http\Message\ResponseInterface;
use Vesp\Helpers\Jwt;

// Наш контроллер расширяет оригинальный из vesp/core
class Login extends \Vesp\Controllers\Security\Login
{
    // Тот же метод POST
    public function post(): ResponseInterface
    {
        // Получаем ответ из оригинального контроллера
        $response = parent::post();
        $code = $response->getStatusCode();
        // Работаем только если юзер был проверен без ошибок
        if ($code === 200) {
            // Декодируем содержимое токена
            $token = json_decode($response->getBody()->__toString(), false)->token;
            if ($decoded = JWT::decodeToken($token)) {
                // И сохраняем токен в БД
                (new UserToken(
                    [
                        'user_id' => $decoded->id,
                        'token' => $token,
                        'valid_till' => date('Y-m-d H:i:s', $decoded->exp),
                        // Вот тут-то нам и пригодился akrabat/ip-address-middleware
                        // для сохранения IP пользователя
                        'ip' => $this->request->getAttribute('ip_address'),
                    ]
                ))->save();

                // Если в настройках указано максимальное количество активных токенов
                if ($max = getenv('JWT_MAX')) {
                    $query = UserToken::query()->where(['user_id' => $decoded->id, 'active' => true]);
                    // И юзер уже превысил этот лимит
                    if ($query->count() > $max) {
                        // Ищем самый старый активный токен
                        if ($result = $query->orderBy('updated_at')->orderBy('created_at')->first()) {
                            // и отключаем его
                            $result->update(['active' => false]);
                        }
                    }
                }
            }
        } else {
            // Так как vesp/vesp в отличие от vesp/core есть фронтенд
            // заменяем стандартные сообщения об ошибках на строки из лекикона
            // Про лексиконы потом поговорим отдельно
            if ($code === 403) {
                return $this->failure('errors.security.inactive');
            }
            if ($code === 422) {
                return $this->failure('errors.security.wrong');
            }
        }

        // Возвращаем ответ
        return $response;
    }
}

• сохраняет выданный токен в БД
• отключает старые токены, если их стало слишком много

UserToken::query()
    ->where('valid_till', '<', date('Y-m-d H:i:s'))
    ->orWhere('active', false)
    ->delete();

• немедленно блокировать доступ юзерам в систему
• менять им пароли с требованием повторной авторизации
• ограничивать количество одноременно авторизованных устройств

Минутка практики

curl -X POST -F 'username=admin' -F 'password=admin' \
http://vesp-shop.test/api/security/login

Выход из системы

<?php

namespace App\Controllers\Security;

use App\Models\UserToken;
use Psr\Http\Message\ResponseInterface;
use Vesp\Controllers\Controller;

// У vesp/core этой логики нет, так что и расшрять нечего
class Logout extends Controller
{
    // Для обращения к этому контроллеру юзер должен быть
    // авторизован в системе
    protected $scope = 'profile';

    public function post(): ResponseInterface
    {
        // Ищем текущий токен юзера
        $user_token = $token = UserToken::query()
            ->where([
                'user_id' => $this->user->id, 
                // Вот для этого наш App\Middlewares\Auth и 
                // добавлял токен в объект запроса
                'token' => $this->request->getAttribute('token')
            ])
            ->first();
        // Если нашли - отключаем
        if ($user_token) {
            $token->active = false;
            $token->save();
        }

        // Ответом всегда код 200
        return $this->success();
    }
}

curl -X POST --header "Authorization: Bearer ваштокен" \
http://vesp-shop.test/api/security/logout

Заключение