phpjwt怎么生成和验证_jsonwebtoken使用指南【操作】-php教程-PHP中文网

php-jwt生成token时exp非必须但生产环境必须设置，iat可选但验证端启用leeway时需提供；encode需显式传allowedalgs数组，decode需捕获domainexception并调用getmessage()查具体错误。

phpjwt怎么生成和验证_jsonwebtoken使用指南【操作】

PHP-JWT 生成 token 时必须设置 `iat` 和 `exp` 吗？

不是必须，但不设 exp 就等于永久有效，生产环境绝对不能这么干；iat 虽然可选，但验证端若启用了 leeway 或做签发时间校验（比如防重放），没它会直接报 Invalid issued at claim (iat) 错误。

实际生成建议始终带上：

iat 设为 time()，表示签发时间
exp 设为 time() + 3600（1小时有效期），别用固定时间戳，避免时区或系统时间偏差导致秒级失效
如果后端统一用 UTC 时间校验，确保 PHP 的 date_default_timezone_set('UTC') 已调用

用 `JWT::encode()` 生成 token 报 `DomainException: Algorithm not allowed`

这是最常踩的坑：新版 firebase/php-jwt（v6.0+）默认只允许 HS256、HS384、HS512 等对称算法，且必须显式传入白名单数组，否则直接抛异常。

正确写法：

$key = 'your-secret-key';
$payload = ['user_id' => 123, 'iat' => time(), 'exp' => time() + 3600];
$token = JWT::encode($payload, $key, 'HS256', null, ['HS256']); // 第5个参数是 $allowedAlgs

注意：null 是第四个参数（$keyId），别漏掉占位；若用 RSA 私钥，第5个参数得写 ['RS256']，且第二个参数要传 openssl_pkey_get_private(...) 资源，不是字符串。

wechat-article-extraction-mp-weixin-qq-com news-webpage-cleaning blog-post-parsing metadata-extraction-title-author-date multiple-output-formats-markdown-json-plain-text batch-processing-support

基于三引擎设计，从微信文章、新闻和博客网页提取干净内容，支持标题作者日期元数据，多格式和批量处理。

下载

`JWT::decode()` 验证失败却没报具体错误？

默认情况下 JWT::decode() 只抛通用 DomainException，错误信息被吞了。想看到真实原因（比如 Expired token、Signature verification failed），必须捕获异常并调用 getMessage()：

try {
    $decoded = JWT::decode($token, $key, ['HS256']);
} catch (DomainException $e) {
    error_log('JWT decode error: ' . $e->getMessage()); // 打印出来才能定位
}

常见验证失败原因：

密钥不一致（开发/测试/生产环境 key 写错或未同步）
token 被前端截断（比如 URL 中含 . 以外的特殊字符，被代理或日志系统转义）
时钟不同步：服务器时间比 NTP 快 >1 分钟，exp 就提前失效
传了空字符串或 null 当 $token，decode 不报错但返回空对象

如何安全地从 HTTP Header 提取 token 并去掉 `Bearer` 前缀？

不要用 str_replace('Bearer ', '', $header) —— 如果 token 本身含 Bearer （极小概率但可能），会被误删。标准做法是用 substr() 切固定长度：

$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (strpos($authHeader, 'Bearer ') === 0) {
    $token = substr($authHeader, 7); // 'Bearer ' 长度是 7
} else {
    throw new InvalidArgumentException('Invalid Authorization header');
}

还要注意：

Apache 下 HTTP_AUTHORIZATION 可能不可见，需在 .htaccess 加 RewriteRule ^(.*)$ - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
Nginx 需配置 proxy_set_header Authorization $http_authorization;
别把 $token 直接拼进 SQL 或日志——它可能含恶意 payload，至少做 base64_decode() 前先检查长度和格式

JWT 的 header.payload.signature 三段都用 base64url 编码，但 PHP 的 base64_decode() 默认不兼容 url-safe 变体，要用 JWT::urlsafeB64Decode() 或手动替换 - 和 _。