webman中正确注册jwt中间件需三步：一、从config/jwt.php加载密钥而非硬编码；二、重写process()方法，在父类逻辑前插入validatetoken()校验签名与exp；三、将中间件注册为全局中间件，确保路由匹配前完成鉴权。
Webman 项目里加 JWT 鉴权，不用重写整个认证流程，但必须手动补全三件事：签发逻辑、中间件拦截、Bearer 头解析。直接套用现成插件容易漏掉签名密钥轮换或过期时间校验，导致 token 永不过期或被暴力爆破。
Webman 中如何正确注册 JWT 中间件
Webman 默认不带 JWT 认证中间件，webman/plugin-jwt 插件虽能快速接入，但它的 JwtAuthMiddleware 默认只检查 Authorization 头是否含 Bearer，不验证签名、不校验 exp、不拒绝已撤销的 token。
- 必须在中间件构造函数中传入真实密钥（不能硬编码字符串，建议从
config/jwt.php加载） - 需重写
process()方法，在调用父类逻辑前插入validateToken()校验，否则攻击者可伪造任意未签名 token 绕过 - 若用
HS256算法，密钥长度至少 32 字节；若用RS256，必须加载 PEM 格式私钥并确认openssl_pkey_get_private()返回非 false
PHP 生成 JWT 时 payload 的关键字段怎么设
payload 不是随便塞数组就行。exp、iat、jti 这三个字段缺失或格式错误，会导致 token 在 Webman 请求生命周期中被静默放行或提前失效。
-
exp必须是 int 类型的 unix 时间戳，不是字符串；若写成'exp' => '1716400000'，lcobucci/jwt解析时会跳过该声明，token 永不过期 -
jti（JWT ID）建议用bin2hex(random_bytes(16))生成唯一值，用于服务端黑名单机制；不设则无法主动吊销 token - 自定义字段如
uid或role应放在 payload 顶层，避免嵌套过深导致 Webman 控制器里取值失败（例如$token->getClaim('data.uid')会报错，应为$token->getClaim('uid')）
为什么 Webman 的路由分组鉴权经常失效
很多人在 routes/api.php 里对 Router::group() 添加中间件，但 token 校验仍不生效——问题出在中间件执行顺序和请求头解析时机。
- Webman 的中间件链默认在路由匹配后才执行，而 JWT 需要在路由前就完成身份识别（否则无法决定该进哪个控制器）
- 必须把 JWT 中间件注册到全局中间件（
app/middleware.php）或使用Router::addGlobalMiddleware()，不能只挂到某组路由下 - 前端发来的
Authorization: Bearer xxx头，Webman 默认不会自动剥离Bearer前缀；中间件里要用str_replace('Bearer ', '', $authHeader)手动截取，否则Parser::parse()会因格式错误抛出InvalidTokenException
Webman + JWT 下 HTTPS 和签名防重放怎么配合
JWT 本身不防重放，仅靠 token 过期时间（exp）不够。Webman 项目里必须叠加一层时间窗口校验，否则攻击者截获一个有效 token 可在过期前无限次重放请求。
- 在 payload 中强制加入
nbf（not before）字段，值设为当前时间戳减去 30 秒，服务端校验时要求time() >= $token->getClaim('nbf') - 所有敏感接口（如支付、删除）必须额外校验请求头中的
X-Timestamp和X-Nonce，并在 Redis 中缓存nonce5 分钟，重复即拒 - 即使用了 JWT，也必须强制全站 HTTPS；Webman 的
Request::isSecure()要在中间件开头检查，非 HTTPS 请求直接返回 403，不进入 token 解析流程
最易被忽略的是密钥管理：Webman 的配置热更新机制会让 config/jwt.php 中的密钥常量在 reload 后仍驻留内存，旧 token 无法立即失效。生产环境必须用外部密钥服务（如 HashiCorp Vault）或定期重启 worker 进程来轮换密钥。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
