我正在尝试使用 Box 应用程序用户 ID 创建访问 token 。我已经使用以下代码创建盒子应用程序用户

curl https://api.box.com/2.0/users \
-H "Authorization: Bearer <TOKEN>" \
-d '{"name": "Ned Stark", "is_platform_access_only": true}' \
-X POST

然后给出如下结果

{"type":"user","id":"2199107004","name":"Ned Stark","login":"AppUser_399382_9BNZHI03nJ@boxdevedition.com","created_at":"2017-08-03T00:58:04-07:00"

是否可以使用 box 应用程序用户 ID 生成访问 token ？

已编辑

我已经在 BOX API 中生成了公钥。然后我有一个包含公钥和私钥详细信息的文件，如下所示，

{
  "boxAppSettings": {
    "clientID": <Client ID>,
    "clientSecret": <clientsecret>,
    "appAuth": {
      "publicKeyID": <publickeyid>,
      "privateKey": "-----BEGIN ENCRYPTED PRIVATE KEY-----\Key heresn-----END ENCRYPTED PRIVATE KEY-----\n",
      "passphrase": <phrase>
    }
  },
  "enterpriseID": <enterpriseId>
}

然后我生成了header和payload，如下所示

$header = ["typ"=> "JWT", "alg"=>"RS256","kid"=> <public key id>];

$payload = [
    "iss"=> "<client id>",
    "sub"=> "<APP USER ID>",
    "box_sub_type"=> "user",
    "aud"=>"https://api.box.com/oauth2/token",
    "jti"=>"<I don't know what is this>",
    "exp"=>1428699385
];
$header = base64_encode(json_encode($header));
$payload = base64_encode(json_encode($payload));

在此之后我卡住了如何在这里实现私钥和公钥。实际上我有从 BOX API 下载的 JSON 文件。 而且我不明白什么是 JTI？如何在其中添加公钥和|或私钥JSON文件？怎么做？

我已经按照文档手动生成了私钥，如下

openssl genrsa -aes256 -out private_key.pem 2048

然后我给了密码“12345”。并生成公钥如下，

openssl rsa -pubout -in private_key.pem -out public_key.pem

然后我在 BOX-API 中添加了公钥，并编写了如下代码，

$data = file_get_contents('private_key.pem');
$result = openssl_pkey_get_private($data,"12345"); 
print_r($result);

结果如下

Resource id #4

这些看起来不像加密数据。以及在php中调用box api时如何实现private和public？

最佳答案

我不建议你自己实现这个，因为已经有几个库实现了这个协议(protocol)。但是，我将我的答案分为两部分，第一部分解释了如何使用开源包来解决您的问题，第二部分帮助您解决是否要进行私钥签名的问题。

使用包

有几个支持 JWT 签名的 php 包，在撰写本文时最常用的是 lcobucci/jwt，但也可以在这里找到其他实现: https://packagist.org/search/?q=jwt

您可以使用 composer安装它。由于现在没有记录 4.0 版，我建议您安装 3.2 并查看 README该版本的文件。

您可以在您的项目中使用:composer require lcobucci/jwt:^3.2

您的代码示例表明您需要 RSA256，该库有一个示例:

<?php
use Lcobucci\JWT\Builder;
use Lcobucci\JWT\Signer\Keychain; // just to make our life simpler
use Lcobucci\JWT\Signer\Rsa\Sha256; // you can use Lcobucci\JWT\Signer\Ecdsa\Sha256 if you're using ECDSA keys

$signer = new Sha256();
$keychain = new Keychain();
$token = (new Builder())
    ->setIssuer('http://example.com') // Configures the issuer (iss claim)
    ->setAudience('http://example.org') // Configures the audience (aud claim)
    ->setId('4f1g23a12aa', true) // Configures the id (jti claim), replicating as a header item
    ->setIssuedAt(time()) // Configures the time that the token was issue (iat claim)
    ->setNotBefore(time() + 60) // Configures the time that the token can be used (nbf claim)
    ->setExpiration(time() + 3600) // Configures the expiration time of the token (nbf claim)
    ->set('uid', 1) // Configures a new claim, called "uid"
    ->sign($signer,  $keychain->getPrivateKey('file://{path to your private key}')) // creates a signature using your private key
    ->getToken(); // Retrieves the generated token

签名和验证

使用公钥和私钥时，您始终必须确保私钥安全。但是，您可以轻松地向全世界发布您的公钥，而不会影响安全性。

签名是使用私钥完成的，因为您不希望人们能够伪造您的签名，所以使用公开部分签名将使每个人都可以这样做。这也意味着验证步骤始终使用公钥，因为每个人都应该能够做到。

用 PHP 实现

您提供的代码示例只是加载一个私钥，但不对其执行任何操作。为了签名，您需要将 openssl_sign 与您的变量一起使用。 Resource #xx 仅表示对 php 中外部内容的引用。

<?php
// Data to sign
$payload = 'TEST';
// Generate a new key, load with: openssl_pkey_get_private
$privateKey = openssl_pkey_new(array('private_key_bits' => 512)); // NOT SECURE BUT FAST
// Extract public part from private key
$details = openssl_pkey_get_details($privateKey);
// Use openssl_pkey_get_public to load from file
$publicKey = $details['key'];

// Generated by openssl_sign
$signature = null;
// Sign with private key
openssl_sign($payload, $signature, $privateKey, OPENSSL_ALGO_SHA256);

// Use base64 because the signature contains binairy data
echo 'Signed data: '.base64_encode($signature).PHP_EOL;

// Use publicKey to verify signature
$valid = openssl_verify($payload, $signature, $publicKey, OPENSSL_ALGO_SHA256);
echo 'Signature is '.($valid ? 'Valid' : 'Invalid').PHP_EOL;

还有什么

如果你仍然想实现完整的协议(protocol)，我建议你再看看这个包。正如评论中已经建议的那样，完整的规范:

https://www.rfc-editor.org/rfc/rfc7519.txt

最后提示:JWT 使用一些与 php 不同的 base64 字符，因此请务必正确处理。

关于php - 如何在 Box-API 中使用应用程序用户 ID 创建访问 token ？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/45478218/