Laravel JWT 中如何实现多表数据验证与数据隔离？

本文共计1069个文字，预计阅读时间需要5分钟。

相关专题：

会引发这个问题的原因是laravel的jwt token默认只会存储数据表的主键的值，并没有区分是那个表的。所以只要token里携带的ID在你的用户表中都存在，就会导致越权验证。

我们来看看laravel的jwt token 的原貌：

{ "iss": "http://your-request-url", "iat": 1558668215, "exp": 1645068215, "nbf": 1558668215, "jti": "XakIDuG7K0jeWGDi", "sub": 1, "prv": "92d5e8eb1b38ccd11476896c19b0e44512b2aacd" }

携带数据的是sub字段，其他字段是jwt的验证字段。

我们只看到sub的值为1，并没有说明是那个表或是哪个验证器的。这个token通过你的验证中间件时，你使用不同的guard就能拿到对应表id为1的用户（了解guard请查看laravel的文档）。

解决办法

想要解决用户越权的问题，我们只要在token上带上我们的自定义字段，用来区分是哪个表或哪个验证器生成的，然后再编写自己的中间件验证我们的自定义字段是否符合我们的预期。