sanctum 是 passport 的輕量級替代方案，適用于 api 認證。1) sanctum 通過生成 api 令牌簡化認證過程，適用于不需要復雜 oauth2 流程的應用。2) 它支持 spa 和移動應用認證，配置簡單，性能高。3) 使用示例包括基本用法和高級用法，如為不同設備生成令牌。4) 優化建議包括使用緩存、限制令牌數量和定期輪換令牌。
引言
在開發 API 時，認證和授權是不可或缺的部分。laravel 提供了多種解決方案，其中 Passport 和 Sanctum 是兩個常見的選擇。如果你正在尋找一個輕量級的 API 認證方案，Sanctum 無疑是一個值得考慮的替代方案。本文將探討為什么 Sanctum 可以作為 Passport 的替代品，并詳細介紹其優勢和使用方法。
通過閱讀本文，你將了解到 Sanctum 的核心概念、如何在項目中實施 Sanctum，以及在實際應用中如何優化和最佳實踐。
基礎知識回顧
在深入探討 Sanctum 之前，讓我們先回顧一下 Laravel 中的認證和授權基礎知識。Laravel 提供了強大的認證系統，支持多種認證方式，如會話認證、API 認證等。Passport 是一個基于 OAuth2 的認證解決方案，適用于需要復雜授權流程的應用。而 Sanctum 則是一個輕量級的認證系統，專為 API 設計，支持 SPA（單頁面應用）和移動應用的認證。
核心概念或功能解析
Sanctum 的定義與作用
Sanctum 是一個輕量級的認證系統，旨在簡化 API 認證過程。它通過生成 API 令牌來驗證用戶身份，適用于不需要復雜 OAuth2 流程的應用。Sanctum 的主要優勢在于其簡單性和靈活性，它可以輕松地集成到現有的 Laravel 項目中，并且不需要像 Passport 那樣進行復雜的配置。
讓我們看一個簡單的 Sanctum 示例：
// 在 User 模型中添加 HasApiTokens trait use LaravelSanctumHasApiTokens; class User extends Authenticatable { use HasApiTokens, Notifiable; // ... } // 在 API 路由中使用 Sanctum 中間件 Route::middleware('auth:sanctum')->get('/user', function (Request $request) { return $request->user(); });
這個示例展示了如何在 User 模型中使用 Sanctum 的 HasApiTokens trait，以及如何在 API 路由中使用 Sanctum 中間件來保護路由。
Sanctum 的工作原理
Sanctum 通過生成和驗證 API 令牌來實現認證。當用戶登錄時，Sanctum 會生成一個唯一的 API 令牌，這個令牌可以存儲在客戶端（如瀏覽器的 localStorage 或移動應用的本地存儲中）。每次請求 API 時，客戶端會將這個令牌發送到服務器，Sanctum 會驗證令牌的有效性，從而確認用戶身份。
Sanctum 的實現原理相對簡單，它不依賴于 OAuth2 協議，而是通過簡單的令牌驗證來實現認證。這使得 Sanctum 的性能更高，配置更簡單，同時也減少了潛在的安全風險。
使用示例
基本用法
讓我們看一個基本的 Sanctum 用法示例：
// 生成 API 令牌 $user = User::find(1); $token = $user->createToken('auth_token')->plainTextToken; // 使用 API 令牌進行認證 Route::middleware('auth:sanctum')->get('/user', function (Request $request) { return $request->user(); });
在這個示例中，我們首先為用戶生成一個 API 令牌，然后使用 Sanctum 中間件來保護 /user 路由，只有攜帶有效令牌的請求才能訪問這個路由。
高級用法
Sanctum 還支持更高級的用法，例如為不同的設備生成不同的令牌：
// 為不同的設備生成不同的令牌 $user = User::find(1); $tokenForDevice1 = $user->createToken('device1_token', ['device:1'])->plainTextToken; $tokenForDevice2 = $user->createToken('device2_token', ['device:2'])->plainTextToken; // 使用設備令牌進行認證 Route::middleware('auth:sanctum')->get('/user', function (Request $request) { $user = $request->user(); $abilities = $user->tokenCan('device:1') ? 'Device 1' : 'Device 2'; return ['user' => $user, 'abilities' => $abilities]; });
在這個示例中，我們為不同的設備生成不同的令牌，并在請求中驗證設備的權限。這種方法可以用于更細粒度的權限控制。
常見錯誤與調試技巧
在使用 Sanctum 時，可能會遇到一些常見的問題，例如令牌過期或無效。以下是一些調試技巧：
- 檢查令牌是否正確生成和存儲：確保在生成令牌時沒有錯誤，并且令牌被正確存儲在客戶端。
- 驗證令牌有效性：在服務器端，使用 Sanctum 的驗證方法來檢查令牌的有效性。
- 處理令牌過期：Sanctum 支持令牌過期時間，可以通過配置文件來設置令牌的過期時間，并在客戶端實現令牌刷新機制。
性能優化與最佳實踐
在實際應用中，優化 Sanctum 的使用可以提高 API 的性能和安全性。以下是一些優化和最佳實踐建議：
- 使用緩存：將用戶信息和令牌信息緩存起來，可以減少數據庫查詢，提高響應速度。
- 限制令牌數量：為了防止令牌泄露，可以限制每個用戶生成的令牌數量。
- 定期輪換令牌：為了提高安全性，可以定期輪換令牌，確保即使令牌泄露，也不會長期有效。
在編寫代碼時，保持代碼的可讀性和維護性也是非常重要的。以下是一個優化后的 Sanctum 使用示例：
// 使用緩存優化用戶信息獲取 Route::middleware('auth:sanctum')->get('/user', function (Request $request) { $user = Cache::remember('user_' . $request->user()->id, 3600, function () use ($request) { return $request->user(); }); return $user; }); // 限制令牌數量 $user = User::find(1); if ($user->tokens()->count() createToken('auth_token')->plainTextToken; } else { // 處理令牌數量超限的情況 }
通過這些優化和最佳實踐，可以確保 Sanctum 在實際應用中發揮最大效用，同時保持代碼的簡潔和高效。
總的來說，Sanctum 作為一個輕量級的 API 認證方案，具有簡單、靈活和高效的特點，是 Passport 的一個優秀替代品。希望本文能幫助你更好地理解和使用 Sanctum，從而在你的 Laravel 項目中實現高效的 API 認證。
