API Gateway:JWT-logout

Skenario penggunaan

JWT adalah token tanpa status yang tetap valid hingga kedaluwarsa. Gunakan plugin jwt-logout untuk memaksa menginvalidasi JWT tertentu sebelum masa berlakunya habis.

Cara kerja

• Jika akhiran path permintaan cocok dengan path dalam konfigurasi plugin, mekanisme logoff dipicu. Instans ApsaraDB for Redis mencatat JWT untuk logoff tersebut. Kunci yang disimpan di instans ApsaraDB for Redis terdiri dari awalan yang dikonfigurasi serta kunci dan nilai yang diekstraksi dari muatan JWT saat ini.

• Jika muatan JWT yang dibawa dalam permintaan sesuai dengan karakteristik kunci yang disimpan di instans ApsaraDB for Redis, sistem menganggap JWT tersebut tidak valid dan menolak permintaan tersebut.

• Waktu kedaluwarsa default kunci yang disimpan di instans ApsaraDB for Redis dihitung berdasarkan field exp dalam muatan JWT. Artinya, kunci dapat disimpan hingga JWT kedaluwarsa.

Contoh

Konfigurasi plugin:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. Picu logoff.

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # Hasil berikut dikembalikan:
   {"message": "logout success"}

   Muatan token:

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dalam kasus ini, kunci higress_jwt_logout_jti##xxxx disimpan di instans ApsaraDB for Redis.

2. Setelah logoff, akses berdasarkan JWT tersebut tidak diizinkan.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # Hasil berikut dikembalikan:
   {"message":"invalid token"}

Skenario penggunaan

Saat akun masuk dari beberapa perangkat dengan autentikasi JWT, JWT berbeda mungkin dikeluarkan untuk setiap perangkat. Gunakan plugin jwt-logout untuk memberlakukan logon satu perangkat sehingga hanya satu sesi yang tetap aktif pada satu waktu.

Cara kerja

• Saat permintaan diajukan, sistem mengekstraksi JWT dari permintaan tersebut dan membentuk kunci Redis berdasarkan awalan yang dikonfigurasi serta kunci dan nilai yang diekstraksi dari muatan JWT saat ini. Sistem kemudian menanyakan nilai yang sesuai dengan kunci tersebut di instans ApsaraDB for Redis. Jika nilainya tidak sesuai dengan nilai kunci JWT saat ini, sistem menolak permintaan akses tersebut.

• Jika nilai tersebut tidak ada, JWT saat ini ditulis ke kunci Redis. Waktu kedaluwarsa default kunci di instans ApsaraDB for Redis dihitung berdasarkan field exp dalam muatan JWT. Artinya, kunci dapat disimpan hingga JWT kedaluwarsa. Selama periode validitas JWT, permintaan akses berdasarkan JWT lain yang memiliki karakteristik muatan yang sama tidak diizinkan.

• Jika akhiran path permintaan cocok dengan path dalam konfigurasi plugin, mekanisme logoff paksa dipicu dan JWT saat ini ditulis ke nilai kunci Redis terkait. JWT yang digunakan untuk logon sukses dan memiliki karakteristik muatan yang sama diinvalidasi saat logoff. Hal ini menjamin logon satu perangkat.

Contoh

Konfigurasi plugin:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. Lakukan operasi logon sukses.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   Muatan token:

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dalam kasus ini, kunci higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd disimpan di instans ApsaraDB for Redis dan nilainya sama dengan yang ada dalam JWT saat ini.

2. Tolak permintaan akses ketika muatan JWT dalam permintaan memiliki karakteristik muatan yang sama.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # Hasil berikut dikembalikan:
   {"message":"already login on other device"}

   Muatan token:

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Karakteristik muatan sama antara JWT saat ini dan JWT pada Langkah 1. Namun, field non-karakteristik jti berbeda antara kedua JWT tersebut. Oleh karena itu, permintaan akses berdasarkan JWT tersebut ditolak.

3. Lakukan logon paksa.

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # Hasil berikut dikembalikan:
   {"message":"login success"}

   Dalam kasus ini, kunci higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd disimpan di instans ApsaraDB for Redis dan nilainya diganti dengan nilai dalam JWT saat ini.

   Gunakan JWT saat ini untuk berhasil mengakses halaman.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   Jika Anda menggunakan JWT pada Langkah 1, pesan kegagalan dikembalikan.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # Hasil berikut dikembalikan:
   {"message":"already login on other device"}