使用firebase/php-jwt库可安全验证jwt token：先通过composer安装，再配置密钥与算法，调用jwt::decode解析并自动校验签名、过期等字段，捕获异常分类处理，最后提取载荷中uid、scope等业务数据。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在PHP项目中需要验证JWT Token，但缺乏安全可靠的校验逻辑，则可能是由于未正确使用官方推荐的库或未验证签名、过期时间等关键字段。以下是使用官方维护的firebase/php-jwt库实现JWT校验的具体步骤：
一、安装firebase/php-jwt库
该库由Firebase官方维护，是PHP社区广泛采用且持续更新的JWT实现，支持HS256、RS256等多种签名算法，并提供完整的载荷验证机制。
1、在项目根目录执行Composer命令安装依赖：composer require firebase/php-jwt
2、确保PHP版本不低于7.4，且已启用openssl扩展。
3、安装完成后，自动加载机制将支持直接使用use Firebase\JWT\JWT;语句。
二、配置密钥并初始化验证参数
JWT校验前必须明确签名算法类型与对应密钥（对称密钥用于HS系列，私钥/公钥对用于RS/ES系列），否则无法完成签名比对。
1、定义签名算法常量：$algorithm = 'HS256';
2、设置用于验证的密钥：$secretKey = 'your_32_byte_secret_key_here';
3、若使用RS256，则需加载PEM格式公钥：$publicKey = file_get_contents('public.key');
三、解析并验证Token字符串
调用JWT::decode方法可一次性完成Base64解码、签名验证、标准声明（如exp、nbf）检查，失败时抛出特定异常，便于分类型处理。
1、获取HTTP请求头中的Authorization字段值：$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
2、提取Bearer后的Token：$token = preg_replace('/^Bearer\s+/', '', $authHeader);
3、执行解码与验证：$decoded = JWT::decode($token, $secretKey, [$algorithm]);
四、捕获并区分不同验证异常
JWT校验可能因签名错误、过期、无效格式等原因失败，需分别捕获对应异常类以返回精确错误信息。
1、捕获签名不匹配异常：catch (Firebase\JWT\SignatureInvalidException $e)
2、捕获Token过期异常：catch (Firebase\JWT\ExpiredException $e)
3、捕获载荷格式错误异常：catch (Firebase\JWT\BeforeValidException $e)
4、捕获通用解码失败异常：catch (DomainException $e)
五、提取有效载荷中的业务字段
当JWT通过全部验证后，$decoded对象为stdClass实例，其属性即为原始payload内容，可直接访问用户ID、角色等自定义声明。
1、获取用户唯一标识：$userId = $decoded->uid ?? null;
2、获取权限范围列表：$scopes = $decoded->scope ?? [];
3、获取签发时间戳：$issuedAt = $decoded->iat ?? 0;
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
