Как правильно в Laravel сделать авторизацию по токену для API?

Question

[Евгений]

Пытаюсь использовать из коробки имеющуюся авторизацию для API по токену. Процесс вроде бы изучил и частично реализовал. Настроил авторизацию по токену, на группу маршрутов повесил :

Route::group(['middleware' => ['auth:api']], function() {
// тут прописал все свои маршруты
});

Проблема в том, что если не передан токен или он некорректный, он не отдает код ошибка 401 или 404, он пытается сделать редирект на авторизацию (login), хотя какая авторизация или регистрация для API приложения.

Подскажите как правильно настроить что бы при отсутствии или не совпадения токена, просто отдавать 404 страницу или какие то свои данные?

И непонятно где переопределить название самой переменной, что бы была не "api_token"

Answer 1

[Alex]

Чтобы не изобретать велосипеды, можно использовать готовое решение Artem0071 https://github.com/tymondesigns/jwt-auth

Comments

[Alex]

Если пойти еще дальше, то можно взять готовый костяк https://github.com/francescomalatesta/laravel-api-... и писать уже чисто логику.

[Artem0071]

Alex, Вроде бы тут спрашивают о том как отдавать ошибки не в том виде в котором они из коробки, а не про то как авторизоваться

[Alex]

Artem0071, Упс, точно.

Проблема в том, что если не передан токен или он некорректный, он не отдает код ошибка 401 или 404

Если токен не валиден, правильнее всего это отдать 403 Forbidden.

[Евгений]

Alex, Правильно ли понимаю что это уже готовый каркас проекта с JWT-Auth и Dingo API?

[Alex]

Евгений, да. Мы уже его в 3-4х проектах использовали.

[Евгений]

Alex, Большое спасибо. ПОсидел, разобрался - всё работает. Спасибо! Схему работы и авторизации API всё нормально, но почему то не работает простая авторизация, которая реализована через make:auth().

Или данный каркас заточен только под API ?

[Евгений]

Понял в чем проблема. В конфете по умолчанию тип защитника стоит API

'defaults' => [
        'guard' => 'api',
        'passwords' => 'users',
    ],

Если поменять на WEB, то авторизация для web работает, но перестают работать все роуты и методы для API.
Alex, Не сталкивались с таким? Просто у меня на проекте API лежит на поддомене, а на основной домене закрытая часть (с авторизацией).

[Alex]

Евгений, Мы чисто API использовали, смешивать не приходилось.

Answer 2

[Игорь Щербин]

Я в своем последнем проекте сделал просто. При обращении к API необходимо передавать token в заголовке, в поле X-Auth-Token. Реализация простая. Пишем middleware:

<?php

namespace App\Http\Middleware;

use App\AuthToken;
use Closure;

class TokenAuth
{
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next)
    {
        $_auth_token = $request->header('X-Auth-Token', null);

        if ($_auth_token)
        {
            $_token = AuthToken::find($_auth_token);
            if (!$_token)
                abort('401', 'No such token. Request a new one.');
        }
        else
            abort('401', 'No auth token provided');

        return $next($request);
    }
}

Потом в Kernel.php подключаем:
'token' => \App\Http\Middleware\TokenAuth::class,
И все работает. Получение токена сделано через POST запрос /api/token. Как это реализовать и затем хранить решайте сами.
Версия Laravel 5.4

Answer 3

[Artem0071]

Тоже недавно начал изучение фреймворка и столкнулся с данной проблемой

В общем не знаю на сколько это грамотное решение, но вы можете перейти в app/Exceptions/Handler.php

Там как я понял идет перехват всех ошибок
При авторизации используется unauthenticated, так что можете сделать так:

/**
     * Convert an authentication exception into an unauthenticated response.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Illuminate\Auth\AuthenticationException  $exception
     * @return \Illuminate\Http\Response
     */
    protected function unauthenticated($request, AuthenticationException $exception)
    {
        if ($request->is('api/*')) {
             // тут пишите что хотите вывести, например: 
             return response()->json(['error' => 'auth']);
        }

        if ($request->expectsJson()) {
            return response()->json(['error' => 'Unauthenticated.'], 401);
        }

        return redirect()->guest(route('login'));
    }

Остальные ошибки можно в render() по той же схеме
У меня что то вроде этого получилось

if ($request->is('api/*')) {

            if ($exception instanceof \Symfony\Component\HttpKernel\Exception\NotFoundHttpException)
                return $this->setStatusCode(400)->renderOutput();

            if ($exception instanceof AuthorizationException)
                return $this->setStatusCode(403)->renderOutput();

            if ($exception instanceof ModelNotFoundException)
                return $this->setStatusCode(404)->renderOutput();

            if ($exception instanceof \Symfony\Component\HttpKernel\Exception\MethodNotAllowedHttpException)
                return $this->setStatusCode(405)->renderOutput();

            if ($exception instanceof \Symfony\Component\HttpKernel\Exception\MethodNotAllowedHttpException)
                return $this->setStatusCode(405)->renderOutput();

//            return $this->setData(['extension of' => get_class($exception)])->renderOutput();
        }

Comments

[Евгений]

Спасибо за вариант. Буду пробовать всё.

Answer 4

[CrazyLostAngel]

Логика этого поведения находится в \App\Http\Middleware\Authenticate:

protected function redirectTo($request)
    {
        if (! $request->expectsJson()) {
            return route('login');
        }
    }

видимо в запросе к API вы не указывали что ожидаете JSON, поэтому он и перенаправляет на страницу логина.