API Gateway:jwt-logout

Skenario penggunaan

JWT adalah token tanpa status. Jika JWT diterbitkan, itu valid hingga kadaluwarsa. Anda dapat menggunakan plug-in jwt-logout untuk menerapkan logoff paksa saat JWT tertentu digunakan.

Cara kerjanya

• Jika akhiran jalur permintaan cocok dengan path dalam konfigurasi plug-in, mekanisme logoff dipicu. Instance ApsaraDB for Redis mencatat JWT untuk logoff. Kunci yang disimpan dalam instance ApsaraDB for Redis terdiri dari prefiks yang dikonfigurasi dan kunci serta nilai yang diekstraksi dari payload JWT saat ini.

• Jika payload JWT yang dibawa dalam permintaan cocok dengan karakteristik kunci yang disimpan dalam instance ApsaraDB for Redis, sistem menganggap JWT saat ini tidak valid dan menolak permintaan.

• Waktu kedaluwarsa default kunci yang disimpan dalam instance ApsaraDB for Redis dihitung berdasarkan bidang exp dalam payload JWT. Ini berarti kunci dapat disimpan hingga JWT kadaluwarsa.

Contoh

Konfigurasi plug-in:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. Picu logoff.

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # Hasil berikut dikembalikan:
   {"message": "logout success"}

   Payload token:

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dalam kasus ini, kunci higress_jwt_logout_jti##xxxx disimpan dalam instance ApsaraDB for Redis.

2. Setelah logoff, akses berdasarkan JWT tidak diizinkan.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # Hasil berikut dikembalikan:
   {"message":"invalid token"}

Skenario penggunaan

Ketika sebuah akun digunakan untuk logon ke beberapa perangkat dan autentikasi JWT digunakan untuk logon, JWT yang berbeda mungkin diterbitkan pada perangkat yang berbeda. Dalam hal ini, Anda dapat menggunakan plug-in jwt-logout untuk memungkinkan akun hanya logon ke satu perangkat pada satu waktu.

Cara kerjanya

• Saat permintaan dimulai, sistem mengekstrak JWT dari permintaan saat ini dan membentuk kunci Redis berdasarkan prefiks yang dikonfigurasi serta kunci dan nilai yang diekstraksi dari payload JWT saat ini. Kemudian, sistem memeriksa nilai yang sesuai dengan kunci dalam instance ApsaraDB for Redis. Jika nilainya tidak konsisten dengan nilai kunci JWT saat ini, sistem menolak permintaan akses.

• Jika nilai tidak ada, JWT saat ini ditulis ke kunci Redis. Waktu kedaluwarsa default kunci dalam instance ApsaraDB for Redis dihitung berdasarkan bidang exp dalam payload JWT. Ini berarti kunci dapat disimpan hingga JWT kadaluwarsa. Selama periode validitas JWT, permintaan akses berdasarkan JWT lain dengan karakteristik payload yang sama tidak diizinkan.

• Jika akhiran permintaan cocok dengan path dalam konfigurasi plug-in, mekanisme logoff paksa dipicu dan JWT saat ini ditulis ke nilai kunci Redis terkait. JWT yang digunakan untuk logon sukses dan memiliki karakteristik payload yang sama menjadi tidak valid saat logoff. Ini memastikan logon perangkat tunggal.

Contoh

Konfigurasi plug-in:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. Lakukan operasi logon sukses.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   Payload token:

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Dalam kasus ini, kunci higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd disimpan dalam instance ApsaraDB for Redis dan nilainya sama dengan yang ada di JWT saat ini.

2. Tolak permintaan akses ketika payload JWT dalam permintaan memiliki karakteristik payload yang sama.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # Hasil berikut dikembalikan:
   {"message":"already login on other device"}

   Payload token:

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Karakteristik payload sama untuk JWT saat ini dan JWT pada Langkah 1. Namun, bidang non-karakteristik jti berbeda antara dua JWT tersebut. Oleh karena itu, permintaan akses berdasarkan JWT ditolak.

3. Lakukan logon paksa.

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # Hasil berikut dikembalikan:
   {"message":"login success"}

   Dalam kasus ini, kunci higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd disimpan dalam instance ApsaraDB for Redis dan nilainya diganti dengan nilai dalam JWT saat ini.

   Gunakan JWT saat ini untuk berhasil mengakses halaman.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   Jika Anda menggunakan JWT pada Langkah 1, pesan kegagalan dikembalikan.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # Hasil berikut dikembalikan:
   {"message":"already login on other device"}