jwt需严格遵循签名、校验与时间控制逻辑：必须设exp、捕获decode异常、密钥须用key对象封装；encode需显式指定算法（如'hs256'）且匹配密钥类型；时间戳统一用time()；解码后以对象属性访问数据。
JWT 不是靠“学完教程”就能用好的东西，它本质是一套**签名+校验+时间控制**的组合逻辑。你不需要背 RFC 7519，但必须清楚：**什么时候该设 exp、为什么不能跳过 JWT::decode() 的异常捕获、以及密钥怎么传才不被当成字符串硬编码**。
JWT::encode() 必须带算法参数，不能省略第三个参数
很多人写 JWT::encode($payload, $key) 就报错或生成无效 token，因为新版 firebase/php-jwt（v6.10+）强制要求指定算法。省略后默认行为已移除，不是“自动选 HS256”，而是直接抛 InvalidArgumentException。
- 正确写法：
JWT::encode($payload, $key, 'HS256')或'RS256' - 算法必须和密钥类型匹配：HS 系列用字符串密钥，RS/ES 系列必须用
openssl_pkey_get_private()加载后的资源，不能传 PEM 字符串 - 如果用
'RS256'却传了普通字符串密钥，JWT::encode()会静默返回空或乱码，而不是报错
JWT::decode() 必须显式传 Key 对象，不能直接传字符串密钥
v6.0 起，JWT::decode() 不再接受原始密钥字符串作为第二个参数。直接写 JWT::decode($token, $key, ['HS256']) 会触发 TypeError: Argument 2 passed to Firebase\JWT\JWT::decode() must be an instance of Firebase\JWT\Key。
- 必须用
new Key($key, 'HS256')包一层 - 如果是 RSA 公钥，同样要先
openssl_pkey_get_public()解析成资源，再传给Key构造函数 - 漏掉这步，错误信息很模糊，容易卡在“token 解不出来”，其实根本没走到签名验证那步
时间相关字段（exp、nbf、iat）必须用 time()，别用 date('U') 或手动加时区偏移
JWT 规范要求所有时间戳为 Unix 秒级整数，且以 UTC 为准。date('U') 表面看和 time() 一样，但它受 date_default_timezone_set() 影响；而 time() 在 PHP 5.1+ 后始终返回 UTC 时间戳，不随时区设置变化。
-
exp必须设置，否则 token 永不过期——这是线上最常见安全疏漏 -
nbf和exp建议留 1–2 分钟宽容度，用JWT::$leeway = 60统一处理，别在 payload 里硬算 - 服务器时区设为
Asia/Shanghai时，gmmktime()反而容易出错，坚持用time()最稳
解码后取数据必须用对象属性访问，不是数组下标
JWT::decode() 返回的是一个 stdClass 对象，不是关联数组。写 $decoded['user_id'] 会报 Fatal error: Cannot use object of type stdClass as array。
- 正确方式：
$decoded->user_id或$decoded->data->userId（如果 payload 里嵌了data） - 如果想转成数组，得手动
(array) $decoded，但注意嵌套对象不会递归转 - 生产环境建议加
isset($decoded->user_id)判断，避免未定义属性导致 Notice 级错误被忽略
ExpiredException 让接口静默失败，或者把 PEM 私钥当字符串传给 JWT::encode() 导致签名为空——这些点不亲手试两遍、不看一眼源码里的 Key 类构造逻辑，光看教程根本绕不过去。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
