Laravel sanctum 如何使令牌过期？

Question

当我运行$user->currentAccessToken()->delete();令牌过期时，Auth::check()变成false，它是预期的。

但是，当我走到personal_access_tokens桌子旁时，令牌仍在那里。没有软删除字段。Sanctum 现在令牌过期了怎么办？

Answer 1

在撰写此答案时，令牌现已从数据库中删除，以便解决。

Sanctum 如何知道令牌是否过期非常简单：

• 令牌有一个创建日期，称之为C
• config/sanctum.php 中的配置数据有一个过期时间，称之为E
• 当前您想要使用令牌的时间是现在，称之为N

为了检查是否过期，它从C中减去N。如果N - C小于E，则令牌尚未过期。如果大于，则令牌已过期。

例子：

• 您在凌晨 5:00 创建了一个令牌
• 过期时间设置为5小时
• 您希望在上午 8:00 通过令牌访问数据

当您从 5 中减去 8 时，您会得到 3。距离您创建令牌仅过了 3 小时。没有达到您设定的 5 小时。

如果您在上午 11:00 访问数据，那么时间范围将变为 6 小时，超过 5 小时，这意味着令牌已过期。

Answer 2

可以在config/sanctum.php数组中设置节点过期时间

/*
|--------------------------------------------------------------------------
| Expiration Minutes
|--------------------------------------------------------------------------
|
| This value controls the number of minutes until an issued token will be
| considered expired. If this value is null, personal access tokens do
| not expire. This won't tweak the lifetime of first-party sessions.
|
*/

'expiration' => 60 * 24 * 7,

Answer 3

我查看了 sainttumm 的源代码，它似乎是一个处理它的守卫。

      if (! $accessToken ||
                ($this->expiration &&
                 $accessToken->created_at->lte(now()->subMinutes($this->expiration))) ||
                ! $this->hasValidProvider($accessToken->tokenable)) {
                return;
            }

这意味着验证令牌的过程如下所示：

• 检查数据库中是否存在令牌
• 检查token的creation_date是否没有超过过期时间
• 检查可标记模型是否与提供者的模型类型匹配
• 检查可标记模型是否支持 API 标记

如果失败，它只是拒绝该请求。不删除令牌。

然而，删除令牌是撤销令牌的手动方法。

您可以通过使用 HasApiTokens 特征提供的令牌关系从数据库中删除令牌来“撤销”令牌：