API Gateway:jwt-logout

Cenários de uso

Os JWTs são tokens sem estado que permanecem válidos até a expiração. Use o plug-in jwt-logout para forçar a invalidação de um JWT específico antes que ele expire.

Como funciona

• Se o sufixo do caminho da requisição corresponder ao caminho na configuração do plug-in, o mecanismo de logoff será acionado. A instância do ApsaraDB for Redis registra o JWT para o logoff. A chave armazenada na instância do ApsaraDB for Redis consiste no prefixo configurado e na chave e valor extraídos do payload do JWT atual.

• Caso o payload do JWT transportado na requisição corresponda às características da chave armazenada na instância do ApsaraDB for Redis, o sistema considera o JWT atual inválido e rejeita a requisição.

• O tempo de expiração padrão da chave armazenada na instância do ApsaraDB for Redis é calculado com base no campo exp do payload do JWT. Isso significa que a chave pode permanecer armazenada até que o JWT expire.

Exemplo

Configuração do plug-in:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
logout:
  path: "/jwt_logout"
  key: ["jti"]
  error_status: 401
  error_body: |
    {"message":"invalid token"}

1. Acione um logoff.

   curl  http://xxx.hello.com/test/jwt_logout -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message": "logout success"}

   Payload do token:

   {
       "jti": "xxxx",
       "iss": "abcd",
       "sub": "test",
       "aud": "www.test.com",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Neste caso, a chave higress_jwt_logout_jti##xxxx é armazenada na instância do ApsaraDB for Redis.

2. Após o logoff, o acesso baseado no JWT não é permitido.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsInN1YiI6InRlc3QiLCJhdWQiOiJ3d3cudGVzdC5jb20iLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.tmKF6qc1mOWNyCCzBOT2XKNoEGeEgr3EbhTKAQfq1io'
   
   # The following result is returned:
   {"message":"invalid token"}

Cenários de uso

Quando uma conta faz login em vários dispositivos com autenticação JWT, diferentes JWTs podem ser emitidos para cada dispositivo. Use o plug-in jwt-logout para impor o login em dispositivo único, garantindo que apenas uma sessão permaneça ativa por vez.

Como funciona

• Ao iniciar uma requisição, o sistema extrai o JWT da requisição atual e compõe uma chave do Redis com base no prefixo configurado e na chave e valor extraídos do payload do JWT atual. Em seguida, o sistema consulta o valor correspondente à chave na instância do ApsaraDB for Redis. Se o valor for inconsistente com o valor da chave do JWT atual, o sistema rejeita a requisição de acesso.

• Se o valor não existir, o JWT atual será gravado na chave do Redis. O tempo de expiração padrão da chave na instância do ApsaraDB for Redis é calculado com base no campo exp do payload do JWT. Isso significa que a chave pode permanecer armazenada até que o JWT expire. Durante o período de validade do JWT, requisições de acesso baseadas em outros JWTs que tenham as mesmas características de payload não serão permitidas.

• Caso o sufixo da requisição corresponda ao path na configuração do plug-in, o mecanismo de logoff forçado será acionado e o JWT atual será gravado no valor da chave associada do Redis. O JWT usado para um login bem-sucedido e que possua as mesmas características de payload será invalidado no momento do logoff. Isso garante o login em dispositivo único.

Exemplo

Configuração do plug-in:

redis:
  service: redis.dns
  port: 6379
jwks: |
  {
    "keys": [
      {
        "kty": "oct",
        "kid": "123",
        "k": "hM0k3AbXBPpKOGg__Ql2Obcq7s60myWDpbHXzgKUQdYo7YCRp0gUqkCnbGSvZ2rGEl4YFkKqIqW7mTHdj-bcqXpNr-NOznEyMpVPOIlqG_NWVC3dydBgcsIZIdD-MR2AQceEaxriPA_VmiUCwfwL2Bhs6_i7eolXoY11EapLQtutz0BV6ZxQQ4dYUmct--7PLNb4BWJyQeWu0QfbIthnvhYllyl2dgeLTEJT58wzFz5HeNMNz8ohY5K0XaKAe5cepryqoXLhA-V-O1OjSG8lCNdKS09OY6O0fkyweKEtuDfien5tHHSsHXoAxYEHPFcSRL4bFPLZ0orTt1_4zpyfew",
        "alg": "HS256"
      }
    ]
  }
login:
  path: "/jwt_login"
  key: ["iss","aud","sub"]
  error_status: 403
  error_body: |
    {"message":"already login on other device"}

1. Execute uma operação de login bem-sucedida.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJqdGkiOiJ6enp6IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.WljMr5ucxfLF8SmeaaL25c0QG3IX04HoD0als9gglYg'

   Payload do token:

   {
       "jti": "zzzz",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   Neste caso, a chave higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd é armazenada na instância do ApsaraDB for Redis e o valor é igual ao do JWT atual.

2. Rejeite uma requisição de acesso quando o payload do JWT na requisição tiver as mesmas características de payload.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"already login on other device"}

   Payload do token:

   {
       "jti": "yyyyy",
       "iss": "abcd",
       "aud": "www.example.com",
       "sub": "test",
       "iat": 1665660527,
       "exp": 1865673819
   }

   As características do payload são iguais para o JWT atual e o JWT da Etapa 1. No entanto, o campo não característico jti difere entre os dois JWTs. Por isso, a requisição de acesso baseada no JWT é rejeitada.

3. Realize um login forçado.

   curl  http://xxx.hello.com/test/jwt_login -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'
   
   # The following result is returned:
   {"message":"login success"}

   Neste caso, a chave higress_jwt_login_iss#aud#sub##abcd#www.example.com#abcd é armazenada na instância do ApsaraDB for Redis e o valor é substituído pelo valor do JWT atual.

   Use o JWT atual para acessar a página com sucesso.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ5eXl5eSIsImlzcyI6ImFiY2QiLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJ0ZXN0IiwiaWF0IjoxNjY1NjYwNTI5LCJleHAiOjE4NjU2NzM4MTl9.6vi6eKPWSKHQxfzBPrj3-SWI4Q5zGtWhqp38JIN3FEo'

   Se você usar o JWT da Etapa 1, uma mensagem de falha será retornada.

   curl  http://xxx.hello.com/test/abc -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6IjEyMyJ9.eyJqdGkiOiJ4eHh4IiwiaXNzIjoiYWJjZCIsImF1ZCI6Ind3dy5leGFtcGxlLmNvbSIsInN1YiI6InRlc3QiLCJpYXQiOjE2NjU2NjA1MjcsImV4cCI6MTg2NTY3MzgxOX0.P0WtBTHJzUJvklu9q8XSRszfPbgojrZHg7t4ZaYfKGo'
   
   # The following result is returned:
   {"message":"already login on other device"}