我的设置
我有一个带有REST API的服务器，它运行在带有API平台的Symfony上。对我的资源的GET请求不需要授权，但其他操作需要。授权是用JWT Bearer令牌处理的。
客户端将React-admin与API平台管理员一起使用。我添加了这个代码来发送JWT令牌以及操作：
// dataProvider.js
import React from "react";
import { hydraDataProvider, fetchHydra as baseFetchHydra } from "@api-platform/admin";
export default entrypoint => {
const fetchHeaders = { Authorization: `Bearer ${localStorage.getItem("token")}` };
const fetchHydra = (url, options = {}) => baseFetchHydra(url, {
...options,
headers: new Headers(fetchHeaders),
});
return hydraDataProvider(entrypoint, fetchHydra);
};
问题
当我现在登录到我的管理界面时，我会得到一个401 Unauthorized响应，因为服务器不需要get请求的令牌。
请求标头：
Host: localhost:8000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:73.0) Gecko/20100101 Firefox/73.0
Accept: application/ld+json
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Referer: http://localhost:3000/
Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9.eyJpYXQiOjE1ODQ2NzcwMTYsImV4cCI6MTU4NDY4MDYxNiwicm9sZXMiOlsiUk9MRV9BRE1JTiJdLCJ1c2VybmFtZSI6IlNvbWVib2R5In0.O_StagfEJy5VQS-5s-DjuwzOlUgrl3MTmxPfZUU0J1go06tKOpLjiBrEIJpjo5AK67w93SfsUaIBop8apoacHQ
Content-Type: application/ld+json
Origin: http://localhost:3000
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache
TE: Trailers
响应标头：
HTTP/2 401 Unauthorized
access-control-allow-origin: http://localhost:3000
access-control-expose-headers: link
cache-control: no-cache, private
content-type: application/json
date: Fri, 20 Mar 2020 04:40:39 GMT
link: <https://localhost:8000/api/docs.jsonld>; rel="http://www.w3.org/ns/hydra/core#apiDocumentation"
www-authenticate: Bearer
x-debug-token: 720652
x-debug-token-link: https://localhost:8000/_profiler/720652
x-powered-by: PHP/7.4.1
x-robots-tag: noindex
content-length: 282
X-Firefox-Spdy: h2
当我手动从浏览器的请求头中删除授权行并重试时，它就起作用了。
我的问题：
- 这是意料之中的行为吗
- 客户端是否应始终发送令牌？
- 如果应该始终发送令牌，我如何告诉API平台接受它，即使不需要它
- 如果令牌只应在需要时发送，我如何让hydraDataProvider知道
经过许多小时尝试不同的解决方案，我终于解决了这个问题。
我的问题答案
- 否，发送有效令牌不应导致401响应
- 令牌可以在每次请求时发送
我的解决方案
问题是JWT身份验证在我的服务器上配置不正确。我遵循的指南中没有一个真正涵盖以下情况：我将用户电子邮件作为标识符，而不是用户名
因此，最终发生的情况是，令牌包含编码的用户名，在我的情况下，这不是唯一的标识符。为了告诉JWT使用电子邮件，我不得不将user_identity_field设置为电子邮件。
// config/packages/lexik_jwt_authentication.yaml
lexik_jwt_authentication:
secret_key: '%env(resolve:JWT_SECRET_KEY)%'
public_key: '%env(resolve:JWT_PUBLIC_KEY)%'
pass_phrase: '%env(JWT_PASSPHRASE)%'
user_identity_field: email