Tokenlar va JWT

function korsat(string $nom, string $qiymat): void
{
    printf("%-20s %s%s", $nom . ':', $qiymat, PHP_EOL);
}

function b64url(string $baytlar): string
{
    return rtrim(strtr(base64_encode($baytlar), '+/', '-_'), '=');
}

function b64urlOch(string $matn): string
{
    return base64_decode(strtr($matn, '-_', '+/'));
}

// Noaniq token - shunchaki tasodifiy baytlar
$noaniq = b64url(random_bytes(32));

// Qiymat har chaqiruvda boshqacha - xossalarini ko'rsatamiz
korsat('uzunligi', strlen($noaniq) . ' belgi');
korsat('entropiya', '32 bayt = 256 bit');
korsat('ichida malumot', 'yoq - u faqat bazadagi kalit');

const JWT_KALIT = 'demo-maxfiy-kalit-hech-qachon-ishlatmang';

function jwtYarat(array $dalillar, string $kalit): string
{
    $sarlavha = ['alg' => 'HS256', 'typ' => 'JWT'];

    $qismlar = [
        b64url(json_encode($sarlavha, JSON_UNESCAPED_SLASHES)),
        b64url(json_encode($dalillar, JSON_UNESCAPED_SLASHES)),
    ];

    $imzolanadigan = implode('.', $qismlar);
    $imzo = hash_hmac('sha256', $imzolanadigan, $kalit, true);

    return $imzolanadigan . '.' . b64url($imzo);
}

// Vaqtlar qat'iy - natija takrorlanishi uchun
$dalillar = [
    'sub' => '42',
    'name' => 'Husanboy Qodirov',
    'rol' => 'user',
    'iat' => 1735689600,
    'exp' => 1735693200,
];

$token = jwtYarat($dalillar, JWT_KALIT);

$qismlar = explode('.', $token);
korsat('qismlar soni', (string) count($qismlar));
korsat('sarlavha', $qismlar[0]);
korsat('foydali yuk', substr($qismlar[1], 0, 40) . '...');
korsat('imzo', $qismlar[2]);
korsat('umumiy uzunlik', strlen($token) . ' belgi');

$token = jwtYarat([
    'sub' => '42',
    'name' => 'Husanboy Qodirov',
    'rol' => 'user',
    'maosh' => 15000000,       // BUNI JWT GA QO'YMANG
    'iat' => 1735689600,
], JWT_KALIT);

// Kalitsiz, hech qanday sirsiz - shunchaki base64
$qismlar = explode('.', $token);

echo 'Sarlavha:', PHP_EOL;
echo '  ', b64urlOch($qismlar[0]), PHP_EOL;
echo 'Foydali yuk:', PHP_EOL;
echo '  ', b64urlOch($qismlar[1]), PHP_EOL;

// XAVFLI: sarlavhadagi algoritmga ISHONADI
function xavfliTekshir(string $token, string $kalit): array
{
    [$s, $y, $i] = explode('.', $token);

    $sarlavha = json_decode(b64urlOch($s), true);

    // Bu yerda hujumchi algoritmni tanlaydi
    if (($sarlavha['alg'] ?? '') === 'none') {
        return ['ok' => true, 'sabab' => 'alg=none - imzo tekshirilmadi'];
    }

    $kutilgan = b64url(hash_hmac('sha256', "{$s}.{$y}", $kalit, true));

    return hash_equals($kutilgan, $i)
        ? ['ok' => true, 'sabab' => 'imzo togri']
        : ['ok' => false, 'sabab' => 'imzo notogri'];
}

$token = jwtYarat(['sub' => '42', 'rol' => 'user'], JWT_KALIT);

// 1. Oddiy holat
$n = xavfliTekshir($token, JWT_KALIT);
korsat('togri token', ($n['ok'] ? 'QABUL' : 'RAD') . ' - ' . $n['sabab']);

// 2. Hujumchi rolni o'zgartiradi (imzoni yangilamasdan)
$q = explode('.', $token);
$soxtaYuk = b64url(json_encode(['sub' => '42', 'rol' => 'admin'],
    JSON_UNESCAPED_SLASHES));
$soxta = $q[0] . '.' . $soxtaYuk . '.' . $q[2];

$n = xavfliTekshir($soxta, JWT_KALIT);
korsat('yuk ozgartirildi', ($n['ok'] ? 'QABUL' : 'RAD') . ' - ' . $n['sabab']);

// 3. Hujumchi ALGORITMNI o'zgartiradi
$noneSarlavha = b64url(json_encode(['alg' => 'none', 'typ' => 'JWT'],
    JSON_UNESCAPED_SLASHES));
$noneToken = $noneSarlavha . '.' . $soxtaYuk . '.';

$n = xavfliTekshir($noneToken, JWT_KALIT);
korsat('alg=none', ($n['ok'] ? 'QABUL' : 'RAD') . ' - ' . $n['sabab']);

// Server RS256 (ochiq kalitli imzo) ishlatadi deb faraz qilaylik.
// Ochiq kalit hamma uchun MA'LUM.
$ochiqKalit = "-----BEGIN PUBLIC KEY-----\nSOXTA-NAMUNA-KALIT\n-----END PUBLIC KEY-----";

// XAVFLI tekshiruvchi: alg ga qarab usulni tanlaydi
function chalkashTekshir(string $token, string $ochiqKalit): string
{
    [$s, $y, $i] = explode('.', $token);
    $alg = json_decode(b64urlOch($s), true)['alg'] ?? '';

    return match ($alg) {
        // HS256 uchun "kalit" sifatida O'SHA ochiq kalitni beradi
        'HS256' => hash_equals(
            b64url(hash_hmac('sha256', "{$s}.{$y}", $ochiqKalit, true)), $i)
                ? 'QABUL' : 'RAD',
        'RS256' => 'RSA tekshiruvi (bu yerda soddalashtirilgan)',
        default => 'RAD: nomalum algoritm',
    };
}

// Hujumchi RS256 o'rniga HS256 deb belgilaydi va
// OCHIQ kalitni HMAC siri sifatida ishlatadi
$sarlavha = b64url(json_encode(['alg' => 'HS256', 'typ' => 'JWT'],
    JSON_UNESCAPED_SLASHES));
$yuk = b64url(json_encode(['sub' => '42', 'rol' => 'admin'],
    JSON_UNESCAPED_SLASHES));
$imzo = b64url(hash_hmac('sha256', "{$sarlavha}.{$yuk}", $ochiqKalit, true));

korsat('hujum natijasi', chalkashTekshir("{$sarlavha}.{$yuk}.{$imzo}",
    $ochiqKalit));

final class JwtTekshiruvchi
{
    // Algoritm KODDA qat'iy - tokendan olinmaydi
    private const ALGORITM = 'HS256';

    public function __construct(
        private readonly string $kalit,
        private readonly string $beruvchi,
        private readonly string $auditoriya,
    ) {}

    public function tekshir(string $token, int $hozir): array
    {
        $qismlar = explode('.', $token);
        if (count($qismlar) !== 3) {
            return ['ok' => false, 'sabab' => 'shakl notogri'];
        }

        [$s, $y, $i] = $qismlar;

        // 1. Sarlavhadagi alg BIZNIKI bilan mos kelishi shart
        $sarlavha = json_decode(b64urlOch($s), true);
        if (($sarlavha['alg'] ?? '') !== self::ALGORITM) {
            return ['ok' => false, 'sabab' => 'algoritm mos emas'];
        }

        // 2. Imzo - doimiy vaqtda
        $kutilgan = b64url(hash_hmac('sha256', "{$s}.{$y}", $this->kalit, true));
        if (!hash_equals($kutilgan, $i)) {
            return ['ok' => false, 'sabab' => 'imzo notogri'];
        }

        // 3. Faqat SHUNDAN KEYIN yukni o'qiymiz
        $d = json_decode(b64urlOch($y), true);
        if (!is_array($d)) {
            return ['ok' => false, 'sabab' => 'yuk buzuq'];
        }

        // 4. Dalillarni tekshiramiz
        foreach (['exp', 'iat', 'iss', 'aud', 'sub'] as $majburiy) {
            if (!isset($d[$majburiy])) {
                return ['ok' => false, 'sabab' => "{$majburiy} yoq"];
            }
        }

        if ($hozir >= $d['exp']) {
            return ['ok' => false, 'sabab' => 'muddati otgan'];
        }
        if (isset($d['nbf']) && $hozir < $d['nbf']) {
            return ['ok' => false, 'sabab' => 'hali kuchga kirmagan'];
        }
        if (!hash_equals($this->beruvchi, (string) $d['iss'])) {
            return ['ok' => false, 'sabab' => 'beruvchi mos emas'];
        }
        if (!hash_equals($this->auditoriya, (string) $d['aud'])) {
            return ['ok' => false, 'sabab' => 'auditoriya mos emas'];
        }

        return ['ok' => true, 'sabab' => 'qabul', 'sub' => $d['sub']];
    }
}

$tekshiruvchi = new JwtTekshiruvchi(JWT_KALIT, 'edu.namuna.uz', 'mobil-ilova');

$hozir = 1735689600;
$asos = [
    'sub' => '42',
    'iss' => 'edu.namuna.uz',
    'aud' => 'mobil-ilova',
    'iat' => $hozir,
    'exp' => $hozir + 3600,
];

$sinovlar = [
    'togri token' => jwtYarat($asos, JWT_KALIT),
    'boshqa kalit' => jwtYarat($asos, 'boshqa-kalit'),
    'muddati otgan' => jwtYarat([...$asos, 'exp' => $hozir - 1], JWT_KALIT),
    'boshqa beruvchi' => jwtYarat([...$asos, 'iss' => 'soxta.uz'], JWT_KALIT),
    'boshqa auditoriya' => jwtYarat([...$asos, 'aud' => 'veb'], JWT_KALIT),
    'exp yoq' => jwtYarat(['sub' => '42', 'iss' => 'edu.namuna.uz',
        'aud' => 'mobil-ilova', 'iat' => $hozir], JWT_KALIT),
];

foreach ($sinovlar as $nom => $token) {
    $n = $tekshiruvchi->tekshir($token, $hozir);
    printf('%-18s %-6s %s%s', $nom, $n['ok'] ? 'QABUL' : 'RAD',
        $n['sabab'], PHP_EOL);
}

$tekshiruvchi = new JwtTekshiruvchi(JWT_KALIT, 'edu.namuna.uz', 'mobil-ilova');
$hozir = 1735689600;

$yuk = b64url(json_encode([
    'sub' => '1', 'iss' => 'edu.namuna.uz', 'aud' => 'mobil-ilova',
    'iat' => $hozir, 'exp' => $hozir + 3600, 'rol' => 'admin',
], JSON_UNESCAPED_SLASHES));

$hujumlar = [
    'alg=none' => b64url(json_encode(['alg' => 'none', 'typ' => 'JWT'],
        JSON_UNESCAPED_SLASHES)) . '.' . $yuk . '.',
    'alg=HS512' => b64url(json_encode(['alg' => 'HS512', 'typ' => 'JWT'],
        JSON_UNESCAPED_SLASHES)) . '.' . $yuk . '.aaaa',
    'alg=RS256' => b64url(json_encode(['alg' => 'RS256', 'typ' => 'JWT'],
        JSON_UNESCAPED_SLASHES)) . '.' . $yuk . '.bbbb',
    'imzosiz' => 'x.y',
];

foreach ($hujumlar as $nom => $token) {
    $n = $tekshiruvchi->tekshir($token, $hozir);
    printf('%-12s %-6s %s%s', $nom, $n['ok'] ? 'QABUL' : 'RAD',
        $n['sabab'], PHP_EOL);
}

$hozir = 1735689600;

// Foydalanuvchi chiqdi. Nima bo'ladi?
$token = jwtYarat([
    'sub' => '42', 'iss' => 'edu.namuna.uz', 'aud' => 'mobil-ilova',
    'iat' => $hozir, 'exp' => $hozir + 86400,   // bir kunlik
], JWT_KALIT);

$tekshiruvchi = new JwtTekshiruvchi(JWT_KALIT, 'edu.namuna.uz', 'mobil-ilova');

korsat('chiqishdan oldin', $tekshiruvchi->tekshir($token, $hozir)['sabab']);
korsat('chiqqandan keyin', $tekshiruvchi->tekshir($token, $hozir + 60)['sabab']);
korsat('parol ozgargach', $tekshiruvchi->tekshir($token, $hozir + 3600)['sabab']);

echo PHP_EOL, 'Token muddati tugagunicha ISHLAYVERADI:', PHP_EOL;
printf('  qolgan vaqt: %d soat%s',
    intdiv(86400 - 3600, 3600), PHP_EOL);

// Oddiy veb ilova uchun eng sodda va ishonchli yechim
$sessiyaId = b64url(random_bytes(32));

echo 'Sessiya kukisi sozlamalari:', PHP_EOL;
$sozlamalar = [
    'httponly' => 'true  - JavaScript oqiy olmaydi',
    'secure' => 'true  - faqat HTTPS orqali',
    'samesite' => 'Lax  - CSRF ga qarshi',
    'path' => '/',
    'domain' => '(qoyilmaydi - subdomenlarga tarqalmasin)',
    'lifetime' => '0     - brauzer yopilganda ochadi',
];

foreach ($sozlamalar as $k => $v) {
    printf('  %-10s %s%s', $k . ':', $v, PHP_EOL);
}

echo PHP_EOL, 'Bazada saqlanadi: id, foydalanuvchi_id, yaratilgan, ',
    'oxirgi_faollik, ip, qurilma', PHP_EOL;