php怎么实现JWT认证_php生成与验证Token教程【鉴权】-php教程-PHP中文网

使用 firebase/php-jwt 生成和验证 JWT 最稳妥，它正确处理算法、时间校验、header/payload 分离及 leeway 容错；需注意密钥强度、敏感信息不入 payload、手动截取 Bearer 前缀、显式指定算法数组、decode 返回对象而非数组，且 JWT 无法主动作废，需配合黑名单或短时效+刷新机制。

php怎么实现jwt认证_php生成与验证token教程【鉴权】

PHP 生成 JWT Token 用 `firebase/php-jwt` 最稳

不用自己手写 Base64Url 编码或签名逻辑，firebase/php-jwt 是目前 PHP 社区最被验证过的实现。它处理了密钥类型（HS256 / RS256）、时间戳校验、header payload 分离等细节，自己造轮子容易漏掉 nbf（not before）或 leeway 时间容错，导致 Token 在边缘时间点失效。

安装：

composer require firebase/php-jwt

生成示例（HS256）：

$payload = [
    'user_id' => 123,
    'exp' => time() + 3600,
    'iat' => time(),
];
$token = \Firebase\JWT\JWT::encode($payload, 'your-secret-key', 'HS256');

注意点：

exp 和 iat 必须是 int 类型时间戳，传字符串会静默失败
密钥长度不足会影响 HS256 安全性，建议至少 32 字节随机字符串
别把敏感字段（如密码、手机号）塞进 payload，JWT 是可解码的，不是加密容器

验证 JWT 时必须设 `leeway` 防止服务器时间偏差

常见错误：Token 到期报 ExpiredException，但本地测试明明没超时。本质是服务器之间时间不同步，哪怕差 2 秒，exp 校验就挂了。

正确做法是设置宽容秒数：

\Firebase\JWT\JWT::$leeway = 5; // 允许前后 5 秒误差
$decoded = \Firebase\JWT\JWT::decode($token, 'your-secret-key', ['HS256']);

其他关键校验项：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

必须显式传入算法数组（['HS256']），否则可能被篡改 header 算法绕过签名检查
decode() 返回对象，不是数组；要取字段得用 $decoded->user_id，不是 $decoded['user_id']
如果用 RS256，第二个参数是 OpenSSLAsymmetricKey 或 PEM 字符串，不是普通字符串密钥

Bearer Token 解析要手动截掉 `Bearer` 前缀

HTTP 请求头里通常是 Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...，直接拿整个值去 decode() 会报 DomainException: Signature verification failed —— 因为开头多了 Bearer 7 个字符。

安全提取方式：

$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (strpos($authHeader, 'Bearer ') === 0) {
    $token = substr($authHeader, 7);
} else {
    http_response_code(401);
    exit('Invalid auth header');
}

补充提醒：