Mit dem Token aus Kapitel 49 lassen sich JETZT authentifizierte Requests stellen – der Standard-HTTP-Mechanismus dafür heißt Authorization: Bearer.

Einen Request ohne Token testen

curl -k -i https://localhost/api/projects

HTTP/2 401

{
  "code": 401,
  "message": "JWT Token not found"
}

WEGEN access_control mit IS_AUTHENTICATED_FULLY (Kapitel 49) verlangt JETZT der GESAMTE /api-Bereich ein GÜLTIGES Token – das war der BEABSICHTIGTE Effekt der Firewall-Konfiguration.

Den Token mitschicken

curl -k -H "Authorization: Bearer $TOKEN" https://localhost/api/projects

JETZT 200 OK – der Authorization-Header mit dem Präfix Bearer (EIN Leerzeichen, dann der Token) authentifiziert den Request.

Ein abgelaufenes Token simulieren

JWT-Tokens haben eine STANDARDMÄSSIGE Gültigkeit von EINER Stunde (konfigurierbar über lexik_jwt_authentication.yaml, Parameter token_ttl) – nach Ablauf liefert JEDER Request DENSELBEN 401-Fehler wie OHNE Token, mit der Meldung "Expired JWT Token".

Swagger UI mit Token nutzen

Die Swagger UI aus Kapitel 6 bietet einen "Authorize"-Button, in den sich das Token EINTRAGEN lässt – ANSCHLIESSEND sind ALLE interaktiven Testaufrufe AUTOMATISCH authentifiziert, OHNE den Header bei jedem Klick neu einzugeben.