PHP API + JWT Authentication Seti (Mimari)

İMRAN · 2025-11-22T15:14:27+03:00

Genel Mimari KatmanGörev API Endpoint/api/login, /api/register, /api/profile Auth ControllerLogin/register işlemlerini yönetir JWT ServiceToken üretimi ve doğrulamasını yapar MiddlewareHer istekte token’i kontrol eder User ModelDB’deki user tablosu ile çalışır Temel Endpoint’ler EndpointAmaç POST /api/registerYeni kullanıcı kaydı POST /api/loginJWT access token üretir GET /api/meToken’e göre kullanıcı bilgisi döner POST /api/logoutRefresh token vs. iptal (isteğe bağlı) POST /api/refreshAccess token yenileme JWT Yapısı ParçaAçıklama HeaderAlgoritma (HS256 vs.) PayloadKullanıcı id, rol, expire zamanı SignatureGizli anahtar ile imzalanan kısım Güvenlik Noktaları KonuTavsiye ExpireAccess token kısa süreli (10–15 dk) Refresh TokenDaha uzun süreli, HTTP-only cookie’de Role ClaimPayload’da rol bilgisi tutulabilir HTTPSZorunlu, yoksa token çalınabilir Rate LimitAuth endpoint’leri kısıtlanmalı

Kas 22, 2025 OP

Konuyu Açan #0

Genel Mimari

Katman	Görev
API Endpoint	`/api/login`, `/api/register`, `/api/profile`
Auth Controller	Login/register işlemlerini yönetir
JWT Service	Token üretimi ve doğrulamasını yapar
Middleware	Her istekte token’i kontrol eder
User Model	DB’deki user tablosu ile çalışır

Temel Endpoint’ler

Endpoint	Amaç
POST `/api/register`	Yeni kullanıcı kaydı
POST `/api/login`	JWT access token üretir
GET `/api/me`	Token’e göre kullanıcı bilgisi döner
POST `/api/logout`	Refresh token vs. iptal (isteğe bağlı)
POST `/api/refresh`	Access token yenileme

JWT Yapısı

Parça	Açıklama
Header	Algoritma (HS256 vs.)
Payload	Kullanıcı id, rol, expire zamanı
Signature	Gizli anahtar ile imzalanan kısım

Güvenlik Noktaları

Konu	Tavsiye
Expire	Access token kısa süreli (10–15 dk)
Refresh Token	Daha uzun süreli, HTTP-only cookie’de
Role Claim	Payload’da rol bilgisi tutulabilir
HTTPS	Zorunlu, yoksa token çalınabilir
Rate Limit	Auth endpoint’leri kısıtlanmalı