ThinkPHPJWT怎么用_ThinkPHP令牌认证实现技巧【汇总】-ThinkPHP-PHP中文网

thinkphp无内置jwt，必须用firebase/php-jwt；中间件须设jwt::$leeway=60并严格校验exp/iss，否则90%出现401静默失败或过期放行。

thinkphpjwt怎么用_thinkphp令牌认证实现技巧【汇总】

直接说结论：别碰任何“ThinkPHP内置JWT”说法，它根本不存在；必须用 firebase/php-jwt，且中间件里不设 JWT::$leeway 或漏校验 exp/iss，90%的 401 静默失败或过期仍放行都出在这儿。

ThinkPHP 没有内置 JWT 实现，所有“think\facade\Jwt”或“tp6-jwt”封装都是第三方扩展，稳定性差、更新慢、文档错漏多。唯一推荐路径是：

运行 composer require firebase/php-jwt:^6.10（2026年最新稳定版，兼容 PHP 8.2+）
在 config/jwt.php 里定义密钥和基础参数，**密钥必须 ≥32 字节随机字符串**，别用 '123456' 这类弱密钥
配置示例中 'exp' => 7200 是秒数，但实际签发时得动态算：'exp' => time() + config('jwt.exp')，否则固定值会出问题
禁止把密钥写进控制器或模型——统一走 config('jwt.secret')，开发/生产环境靠 .env 切换

最常见现象是 DomainException: Signature verification failed，表面是签名错，实则 80% 是 token 字符串本身带了 Bearer 前缀或空格。HTTP Header 的 Authorization 值不是纯 token，必须手动剥离：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

用 $auth = $request->header('authorization', '') 取头，别用 $_SERVER
加前置判断：if (!str_starts_with($auth, 'Bearer ')) { throw new \InvalidArgumentException('Missing Bearer'); }
再取 token：$token = trim(substr($auth, 7))，trim() 必须加，防换行或空格
解码前务必设容错：\Firebase\JWT\JWT::$leeway = 60，否则服务器时间比客户端快/慢几十秒就直接报 ExpiredException

JWT 的 payload 是 base64url 编码，**任何客户端都能解码查看**，所以：

必须包含 iat（签发时间）、exp（过期时间）、iss（签发方，如 'iss' => config('app.name')），缺一不可，否则 decode() 直接抛 DomainException
可存 user_id、role、scope 这类非敏感标识字段，用于后续权限判断
绝对禁止塞 password、phone、id_card 等明文敏感信息——这不是传输加密方案
如果需要用户角色控制，建议只存 role_id，权限细节查数据库或缓存，别全堆进 token 膨胀体积

ThinkPHP 的 RBAC 权限系统依赖 think\Auth::check() 返回布尔值，它默认从 session 读 uid。JWT 场景下不能改这个类，而是桥接：

在认证中间件成功解析 token 后，调用 $request->withAttribute('uid', $decoded->user_id)
新建 app\common\service\JwtAuth.php，实现 check($rule, $uid = null) 方法：若 $uid 为空，则从 $request->getAttribute('uid') 取，再调原 think\Auth::check($rule, $uid)
业务控制器里统一用 $this->request->getAttribute('uid') 获取当前用户 ID，别再查 session 或 cookie
注意：命令行任务、队列、模型事件里没有 HTTP request 对象，这类场景禁用 JWT 解析逻辑，会直接崩