API Gateway:jwt-logout

Cas d'utilisation

Les JWT sont des jetons sans état qui restent valides jusqu'à leur expiration. Utilisez le plug-in jwt-logout pour invalider de force un JWT spécifique avant son expiration.

Fonctionnement

• Si le suffixe du chemin de la requête correspond au chemin défini dans la configuration du plug-in, le mécanisme de déconnexion est déclenché. L'instance ApsaraDB for Redis enregistre le JWT pour la déconnexion. La clé stockée dans l'instance ApsaraDB for Redis se compose du préfixe configuré ainsi que de la clé et de la valeur extraites du corps du JWT actuel.

• Si le corps du JWT transmis dans la requête correspond aux caractéristiques de la clé stockée dans l'instance ApsaraDB for Redis, le système considère le JWT actuel comme invalide et rejette la requête.

• L'heure d'expiration par défaut de la clé stockée dans l'instance ApsaraDB for Redis est calculée sur la base du champ exp présent dans le corps du JWT. Cela signifie que la clé peut être conservée jusqu'à l'expiration du JWT.

Exemple

Configuration du plug-in :

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. Déclenchez une déconnexion.

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message": "logout success"}

   Corps du jeton :

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dans ce cas, la clé higress_jwt_logout_jti##xxxx est stockée dans l'instance ApsaraDB for Redis.

2. Après la déconnexion, l'accès basé sur le JWT n'est pas autorisé.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message":"invalid token"}

Cas d'utilisation

Lorsqu'un compte se connecte depuis plusieurs appareils avec une authentification JWT, différents JWT peuvent être émis pour chaque appareil. Utilisez le plug-in jwt-logout pour imposer une connexion unique par appareil, afin qu'une seule session reste active à la fois.

Fonctionnement

• Lorsqu'une requête est initiée, le système extrait le JWT de la requête actuelle et constitue une clé Redis basée sur le préfixe configuré ainsi que sur la clé et la valeur extraites du corps du JWT actuel. Ensuite, le système interroge la valeur correspondant à la clé dans l'instance ApsaraDB for Redis. Si la valeur est incohérente avec la valeur de clé du JWT actuel, le système rejette la demande d'accès.

• Si la valeur n'existe pas, le JWT actuel est écrit dans la clé Redis. L'heure d'expiration par défaut de la clé dans l'instance ApsaraDB for Redis est calculée sur la base du champ exp présent dans le corps du JWT. Cela signifie que la clé peut être conservée jusqu'à l'expiration du JWT. Pendant la période de validité du JWT, les demandes d'accès basées sur d'autres JWT présentant les mêmes caractéristiques de corps ne sont pas autorisées.

• Si le suffixe de la requête correspond au path défini dans la configuration du plug-in, le mécanisme de déconnexion forcée est déclenché et le JWT actuel est écrit dans la valeur de la clé Redis associée. Le JWT utilisé pour une connexion réussie et présentant les mêmes caractéristiques de corps est invalidé lors de la déconnexion. Cela garantit une connexion unique par appareil.

Exemple

Configuration du plug-in :

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. Effectuez une opération de connexion réussie.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   Corps du jeton :

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dans ce cas, la clé higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd est stockée dans l'instance ApsaraDB for Redis et la valeur est identique à celle du JWT actuel.

2. Rejetez une demande d'accès lorsque le corps du JWT dans la requête présente les mêmes caractéristiques.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"already login on other device"}

   Corps du jeton :

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Les caractéristiques du corps sont identiques pour le JWT actuel et le JWT de l'étape 1. Cependant, le champ non caractéristique jti diffère entre les deux JWT. Par conséquent, la demande d'accès basée sur le JWT est rejetée.

3. Effectuez une connexion forcée.

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"login success"}

   Dans ce cas, la clé higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd est stockée dans l'instance ApsaraDB for Redis et la valeur est remplacée par celle du JWT actuel.

   Utilisez le JWT actuel pour accéder avec succès à la page.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   Si vous utilisez le JWT de l'étape 1, un message d'échec est renvoyé.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # The following result is returned:
   {"message":"already login on other device"}