如何生成 JWT 以用于 Swift 应用程序的 API 身份验证

Question

我正在尝试使用 API 服务，该服务需要对其所有 API 调用进行 JWT 身份验证。

我了解 JWT 令牌是什么以及它们是如何使用的，我的问题是我正在编写一个 Swift 应用程序并且无法完全弄清楚生成令牌的过程，以便我可以将其作为 Bearer 附加到我的 API 调用。

• 我可以在客户端（swift 应用）生成 JWT 令牌吗？
• 创建一个 Google Cloud 函数以生成令牌，然后写回 Firebase 在我的 API 调用中使用？

Answer 1

以下是使用 Apple 的 CryptoKit 在 Swift 中制作 JSON Web 令牌的方法。它使用https://jwt.io中的默认示例

import CryptoKit

extension Data {
    func urlSafeBase64EncodedString() -> String {
        return base64EncodedString()
            .replacingOccurrences(of: "+", with: "-")
            .replacingOccurrences(of: "/", with: "_")
            .replacingOccurrences(of: "=", with: "")
    }
}

struct Header: Encodable {
    let alg = "HS256"
    let typ = "JWT"
}

struct Payload: Encodable {
    let sub = "1234567890"
    let name = "John Doe"
    let iat = 1516239022
}

let secret = "your-256-bit-secret"
let privateKey = SymmetricKey(data: Data(secret.utf8))

let headerJSONData = try! JSONEncoder().encode(Header())
let headerBase64String = headerJSONData.urlSafeBase64EncodedString()

let payloadJSONData = try! JSONEncoder().encode(Payload())
let payloadBase64String = payloadJSONData.urlSafeBase64EncodedString()

let toSign = Data((headerBase64String + "." + payloadBase64String).utf8)

let signature = HMAC<SHA256>.authenticationCode(for: toSign, using: privateKey)
let signatureBase64String = Data(signature).urlSafeBase64EncodedString()

let token = [headerBase64String, payloadBase64String, signatureBase64String].joined(separator: ".")
print(token) // eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Answer 2

这取决于您计划如何签署您的令牌。从根本上说，您需要某种秘密来签署 JWT 的有效负载。

您的密钥是客户端已经拥有的 API 密钥吗？如果是这样，那么仅在客户端生成它并没有太大的危害。

您的秘密是超级机密的证书，您不能将其提供给客户吗？然后，您可能会想采用您的 Firebase 想法。

在这些情况下，让客户端通过 API 密钥进行签名是很常见的，但您一开始就锁定 API 的动机是这里的驱动力。

IBM-Swift 看起来是当今最完整的 JWT 库，如果您决定使用客户端的话。

Jsonwebtoken 是一个非常好的 JS，如果你决定部署一个 GC 函数。

这两个库都非常易于使用。