PHP实现JWT鉴权_JSONWebToken生成与验证原理【指南】-php教程-PHP中文网

结论：用 firebase/php-jwt 是当前 php 项目中最稳妥、文档最清晰、错误提示最友好的 jwt 实现，别自己手撸 base64urlencode + hmac；jwt::encode() 第三个参数算法名（如'hs256'）必填且须显式指定、大小写敏感、与密钥类型严格匹配，否则抛 invalidargumentexception 或 domainexception。

php实现jwt鉴权_jsonwebtoken生成与验证原理【指南】

直接说结论：用 firebase/php-jwt 是当前 PHP 项目中最稳妥、文档最清晰、错误提示最友好的 JWT 实现，别自己手撸 base64UrlEncode + HMAC。

为什么不能直接用 `JWT::encode()` 传数组而不指定算法？

会抛出 InvalidArgumentException —— 因为 JWT::encode() 的第三个参数（算法名）是必填的，不是可选默认值。PHP-JWT 不会自动 fallback 到 HS256，它要求你显式声明。

常见错误写法：JWT::encode($payload, $key) → 报错
正确写法：JWT::encode($payload, $key, 'HS256')
如果传了不支持的算法名（比如 'HS256X'），会触发 DomainException
注意：算法名必须全大写、带引号，且与密钥类型匹配；用 RS256 就不能传对称密钥字符串，得传 new Key($pem, 'RS256')

`JWT::decode()` 报 `SignatureInvalidException` 的真实原因

这错误看起来像“签名错了”，但实际 70% 是因为密钥没对上，或用了错误的密钥类型。

输入关键词，自动扫描全网用户痛点，生成PRD并输出OpenClaw标准任务JSON。

搜索网络用户痛点并输出PRD文档JSON

下载

用 HS256 签发的 token，却用 new Key($pem_content, 'RS256') 去验 → 必报此错
密钥字符串前后有空格或换行（尤其从环境变量读取时）→ 解码失败
token 被前端意外截断（比如 URL 中未编码的 + 变成空格）→ 签名校验自然失败
推荐做法：先用 JWT::getPayload($jwt)（不验签）看 header 和 payload 是否可解析，排除格式问题

如何安全地从 `Authorization` 头提取 token？

别直接用 $_SERVER['HTTP_AUTHORIZATION']，Apache 下这个变量经常为空。

更健壮的写法：$auth = $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] ?? '';
然后正则匹配：if (preg_match('/^Bearer\s+(?<token>[^\s]+)$/i', $auth, $matches)) { $jwt = $matches['token']; }</token>
注意：$jwt 必须是完整三段式字符串（含两个点），少一段或多了空格都会让 JWT::decode() 抛 UnexpectedValueException
不要在验证前做 trim() 或 urldecode() —— JWT 的 base64url 编码本身已处理特殊字符，手动解码反而破坏格式