API Gateway:jwt-logout

Escenarios de uso

Los JWT son tokens sin estado que permanecen válidos hasta su expiración. Utilice el complemento jwt-logout para invalidar de forma forzosa un JWT específico antes de que expire.

Funcionamiento

• Si el sufijo de la ruta de la solicitud coincide con el parámetro path de la configuración del complemento, se activa el mecanismo de cierre de sesión. La instancia de ApsaraDB for Redis registra el JWT correspondiente. La clave almacenada en dicha instancia se compone del prefijo configurado, junto con la clave y el valor extraídos del payload del JWT actual.

• Si el payload del JWT incluido en la solicitud coincide con las características de la clave almacenada en la instancia de ApsaraDB for Redis, el sistema considera que el JWT actual no es válido y rechaza la solicitud.

• La hora de expiración predeterminada de la clave almacenada en la instancia de ApsaraDB for Redis se calcula a partir del campo exp en el payload del JWT. De este modo, la clave se conserva hasta que el JWT expire.

Ejemplo

Configuración del complemento:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. Active un cierre de sesión.

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message": "logout success"}

   Payload del token:

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   En este caso, la clave higress_jwt_logout_jti##xxxx se almacena en la instancia de ApsaraDB for Redis.

2. Después del cierre de sesión, no se permite el acceso basado en ese JWT.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message":"invalid token"}

Escenarios de uso

Cuando una cuenta inicia sesión desde varios dispositivos con autenticación JWT, es posible que se emitan distintos tokens para cada uno. Utilice el complemento jwt-logout para aplicar el inicio de sesión en un solo dispositivo y mantener activa únicamente una sesión a la vez.

Funcionamiento

• Al iniciar una solicitud, el sistema extrae el JWT de dicha solicitud y construye una clave de Redis con el prefijo configurado, además de la clave y el valor obtenidos del payload. Después, consulta el valor correspondiente a esa clave en la instancia de ApsaraDB for Redis. Si el valor no coincide con el de la clave del JWT actual, el sistema rechaza la solicitud de acceso.

• Si el valor no existe, el JWT actual se escribe en la clave de Redis. La hora de expiración predeterminada de la clave en la instancia de ApsaraDB for Redis se calcula a partir del campo exp en el payload del JWT. Así, la clave se conserva hasta que el token expire. Durante el periodo de validez del JWT, no se permiten solicitudes de acceso basadas en otros tokens con las mismas características de payload.

• Si el sufijo de la solicitud coincide con el parámetro path de la configuración del complemento, se activa el mecanismo de cierre de sesión forzado. El JWT actual se escribe como valor de la clave de Redis asociada. El token que permitió un inicio de sesión correcto y comparte las mismas características de payload queda invalidado tras el cierre. Esto garantiza el inicio de sesión en un solo dispositivo.

Ejemplo

Configuración del complemento:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. Complete correctamente una operación de inicio de sesión.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   Payload del token:

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   En este caso, la clave higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd se almacena en la instancia de ApsaraDB for Redis. Su valor coincide con el del JWT actual.

2. Rechace una solicitud de acceso cuando el payload del JWT tenga las mismas características.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"already login on other device"}

   Payload del token:

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Las características del payload coinciden entre el JWT actual y el del paso 1. Sin embargo, el campo que no forma parte de dichas características, jti, difiere entre ambos tokens. Por lo tanto, se rechaza la solicitud de acceso basada en este JWT.

3. Fuerce un inicio de sesión.

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"login success"}

   En este caso, la clave higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd se almacena en la instancia de ApsaraDB for Redis y su valor se reemplaza por el del JWT actual.

   Utilice el JWT actual para acceder correctamente a la página.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   Si utiliza el JWT del paso 1, se devolverá un mensaje de error.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # The following result is returned:
   {"message":"already login on other device"}