如何在ThinkPHP中使用JWT进行API鉴权_firebase/php-jwt扩展集成方案-ThinkPHP-PHP中文网

jwt鉴权需手动拦截请求，thinkphp不内置校验逻辑，须在中间件或initialize()中解析authorization头、验证签名与有效期；漏检将致鉴权失效，常见错误包括token格式错、过期未验、未携token静默放行。

如何在thinkphp中使用jwt进行api鉴权_firebase/php-jwt扩展集成方案

JWT鉴权必须手动拦截请求，ThinkPHP默认不自动校验

ThinkPHP本身不内置JWT验证逻辑，firebase/php-jwt只是个解码/签发工具，你得自己在中间件或控制器里读取Authorization头、解析token、检查有效期和签名——漏掉任一环节都会导致鉴权失效。

常见错误现象：Uncaught InvalidArgumentException: Wrong number of segments（token格式不对）、ExpiredException（没校验exp）、静默放行未携带token的请求（因没写拦截逻辑）。

使用场景：API接口统一鉴权，尤其前后端分离项目，避免session依赖
必须在app/middleware.php中注册自定义中间件，或在控制器initialize()里调用校验函数
不要在路由闭包里做JWT校验——无法复用，且容易绕过

安装firebase/php-jwt后，注意PHP版本与算法兼容性

firebase/php-jwt v6.10+ 要求 PHP >= 8.0；若项目还在用 PHP 7.4，只能装 v6.4.0 或降级到 v5.x（但v5不支持PS256等新算法）。

性能影响：RSA签名（如RS256）比HMAC（HS256）慢3–5倍，开发环境用HS256够用，生产环境若需更高安全性才上RSA。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

安装命令：composer require firebase/php-jwt:^6.4.0（适配PHP 7.4）
配置项：JWT_SECRET必须存进.env，别硬编码在代码里
若用RS256，私钥路径要绝对可靠，file_get_contents()失败会抛DomainException

token解析失败时，别只捕获JWTException，还要处理底层异常

仅用try...catch (JWTException $e)会漏掉UnexpectedValueException（比如token被篡改）、InvalidArgumentException（base64解码失败）等，结果是500而不是401。

真实调试中，常因前端传了Bearer tokenxxx（少空格）或Basic xxx（错用认证类型）导致解析中断。

必须同时捕获：JWTException、UnexpectedValueException、InvalidArgumentException
解析前先用preg_match('/^Bearer\s+(.+)$/', $authHeader, $matches)校验格式，再取$matches[1]

示例片段：

try {
    $token = JWT::decode($jwt, $key, ['HS256']);
} catch (Exception $e) {
    // 统一返回401
    return json(['msg' => 'token invalid'])->code(401);
}