Microservices Engine:jwt-logout

シナリオ

JWT はステートレストークンです。JWT が発行されると、期限切れになるまで有効です。jwt-logout プラグインを使用して、特定の JWT が使用されたときに強制ログアウトを実装できます。

仕組み

• リクエストパスのサフィックスがプラグイン構成のパスと一致する場合、ログアウトメカニズムがトリガーされます。ApsaraDB for Redis インスタンスは、ログアウトの JWT を記録します。ApsaraDB for Redis インスタンスに保存されているキーは、構成されたプレフィックスと、現在の JWT ペイロードから抽出されたキーと値で構成されます。

• リクエストで渡された JWT のペイロードが ApsaraDB for Redis インスタンスに保存されているキーの特性と一致する場合、システムは現在の JWT を無効と見なし、リクエストを拒否します。

• ApsaraDB for Redis インスタンスに保存されているキーのデフォルトの有効期限は、JWT ペイロードの exp フィールドに基づいて計算されます。これは、JWT が期限切れになるまでキーを保存できることを意味します。

例

プラグイン構成：

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. ログアウトをトリガーします。

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # 次の結果が返されます。
   {"message": "logout success"}

   トークンペイロード：

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   この場合、キー higress_jwt_logout_jti##xxxx が ApsaraDB for Redis インスタンスに保存されます。

2. ログアウト後、JWT に基づくアクセスは許可されません。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # 次の結果が返されます。
   {"message":"invalid token"}

シナリオ

アカウントが複数のデバイスへのログインに使用され、ログインに JWT 認証が使用される場合、デバイスごとに異なる JWT が発行される可能性があります。この場合、jwt-logout プラグインを使用して、アカウントが一度に 1 つのデバイスのみにログインできるようにすることができます。

仕組み

• リクエストが開始されると、システムは現在のリクエストから JWT を抽出し、構成されたプレフィックスと現在の JWT ペイロードから抽出されたキーと値に基づいて Redis キーを構成します。次に、システムは ApsaraDB for Redis インスタンスでキーに対応する値をクエリします。値が現在の JWT のキー値と一致しない場合、システムはアクセスリクエストを拒否します。

• 値が存在しない場合、現在の JWT が Redis キーに書き込まれます。ApsaraDB for Redis インスタンスのキーのデフォルトの有効期限は、JWT ペイロードの exp フィールドに基づいて計算されます。これは、JWT が期限切れになるまでキーを保存できることを意味します。JWT の有効期間中、同じペイロード特性を持つ他の JWT に基づくアクセスリクエストは許可されません。

• リクエストサフィックスがプラグイン構成の path と一致する場合、強制ログアウトメカニズムがトリガーされ、現在の JWT が関連付けられた Redis キーの値に書き込まれます。ログイン成功時に使用され、同じペイロード特性を持つ JWT は、ログアウト時に無効になります。これにより、シングルデバイスログインが保証されます。

例

プラグイン構成：

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. ログイン操作を正常に実行します。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   トークンペイロード：

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   この場合、キー higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd が ApsaraDB for Redis インスタンスに保存され、値は現在の JWT の値と同じです。

2. リクエストの JWT ペイロードが同じペイロード特性を持つ場合、アクセスリクエストを拒否します。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # 次の結果が返されます。
   {"message":"already login on other device"}

   トークンペイロード：

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   現在の JWT と手順 1 の JWT のペイロード特性は同じです。ただし、非特性フィールド jti は 2 つの JWT で異なります。したがって、JWT に基づくアクセスリクエストは拒否されます。

3. 強制ログインを実行します。

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # 次の結果が返されます。
   {"message":"login success"}

   この場合、キー higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd が ApsaraDB for Redis インスタンスに保存され、値は現在の JWT の値に置き換えられます。

   現在の JWT を使用してページに正常にアクセスします。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   手順 1 の JWT を使用すると、エラーメッセージが返されます。

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # 次の結果が返されます。
   {"message":"already login on other device"}