ThinkPHP如何管理API接口权限_JWT鉴权与中间件集成方案-ThinkPHP-PHP中文网

jwt解析失败主因是服务端签发与校验逻辑不一致，常见于时间不同步、密钥不统一、iat/exp处理错误；应统一用time()生成时间戳，将role/permissions置入payload，敏感接口强制校验scope字段。

thinkphp如何管理api接口权限_jwt鉴权与中间件集成方案

Token 过期或签名不匹配，不是 JWT 库有问题，而是服务端签发逻辑和中间件校验没对齐。常见于开发环境时间不同步、密钥硬编码不一致、或未正确处理 iat/exp 时间戳。

确保签发时用 time()（非 date('U') 或字符串时间），且服务端与客户端系统时间误差
密钥必须严格一致：JWT::encode() 和 JWT::decode() 用的 $key 字符串不能有空格、换行、BOM；推荐从配置文件读取，避免写死在中间件里
解析前务必检查 Authorization header 是否存在、格式是否为 Bearer xxxxx，否则直接抛 DomainException，别让 decode() 去扛非法输入
使用 JWT::decode($token, $key, ['HS256']) 显式指定算法，避免默认算法列表引发兼容问题

中间件不是只做“有没有 token”，而是要完成「解析 → 验证 → 绑定用户 → 拦截非法请求」闭环。漏掉任一环，权限就形同虚设。

不要在中间件里调用 Db::table('user')→where(...) 查库——JWT payload 里应已含 uid、role 等必要字段，查库是冗余且有性能风险的
验证通过后，把用户信息存到 think\Request 的扩展属性里，比如 $request->jwtUser = $decoded，后续控制器可直接读取，别塞 Session 或全局变量
若需 RBAC 控制，把 role 或 permissions 数组放在 token payload 中签发，中间件里用 in_array('api:delete', $decoded->permissions) 判断，比运行时查权限表更快更稳
对敏感接口（如 /admin/*），强制要求 scope 字段匹配，例如 if (!isset($decoded->scope) || $decoded->scope !== 'admin')，防止普通 token 越权访问

你以为加了 except 就能跳过鉴权，结果登录接口还是 401 —— 多半是路由定义顺序或中间件注册方式不对。

except 只对当前中间件实例生效，如果在 app/middleware.php 全局注册了 JWT 中间件，它会拦截所有 API，except 在路由分组里写无效
正确做法：在路由定义中显式绑定，例如 Route::group(['middleware' => 'jwt.auth'], function () { ... })->except(['login', 'refresh']);
注意 ThinkPHP 路由分组的 except 匹配的是「完整路由名」或「完整 URL 路径」，不是方法名。比如 'login' 要对应 POST /api/login，而不是控制器里的 login() 方法名
调试时可在中间件开头加 if (in_array($request->url(), ['api/login', 'api/refresh'])) return $next($request); 快速绕过，确认是否路由匹配逻辑问题

别存 cookie、别存 localStorage、更别放 JWT payload 里反复签发——refresh_token 是长期凭证，泄露即失守。

服务端必须单独存储：用 Redis 存 refresh_token_hash → uid 映射，设置过期时间（建议 7 天），且每次使用后立即 DEL 并生成新 pair
前端传 refresh_token 必须走 HttpOnly + Secure + SameSite=Strict Cookie，禁止 JS 读取；或者走 Authorization header（Refresh xxx），但 header 方式需额外处理跨域预检
签发新 access_token 时，payload 中的 jti（JWT ID）字段必须唯一，用于防重放；同时更新 Redis 中该 refresh_token 的最后使用时间，便于审计异常行为
ThinkPHP 控制器里不要用 $this->success() 直接返回新 token，而应统一用 json(['access_token' => $new, 'expires_in' => 3600])，避免模板层干扰 JSON 结构