Webman环境下的JWT身份验证与授权深度教程-php教程-PHP中文网

Webman中JWT验证必须手动实现签名、过期、字段及上下文校验，否则存在伪造token、已注销token仍有效等安全漏洞；需用Key对象调用JWT::decode()，捕获四类异常返回401，并规范提取Bearer Token。

webman环境下的jwt身份验证与授权深度教程

Webman 环境下 JWT 身份验证不能靠“装个插件就完事”，必须手动接管 token 解析、签名校验、过期检查和上下文绑定，否则会出现伪造 token 通行、已注销 token 仍有效、IP 绑定失效等生产级安全漏洞。

为什么 webman/plugin-jwt 的默认中间件不安全

它只做 str_starts_with($auth, 'Bearer ') 判断，不调用 JWT::decode() 校验签名，也不检查 exp、nbf、iss 字段。攻击者传一个 Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1aWQiOjEsImV4cCI6OTk5OTk5OTk5OX0.abc 这类无签名的假 token，中间件照常放行。

必须在自定义中间件中显式调用 JWT::decode($token, new Key($secret, $alg))（注意：v6.10+ 必须传 Key 对象）
exp 字段必须是 int 类型时间戳，写成字符串如 'exp' => '1716400000' 会导致校验跳过
捕获四类异常并统一返回 401：SignatureInvalidException、ExpiredException、BeforeValidException、DomainException
不要依赖 $request->header('Authorization') —— Webman 的 Request 封装未标准化处理 Bearer 前缀，应直接读 $_SERVER['HTTP_AUTHORIZATION']

如何正确提取并验证 Bearer Token

Webman 不自动剥离 Bearer 前缀，且部分 Nginx 配置会过滤掉 Authorization 头，导致 $_SERVER 中根本不存在该字段。

先检查 $_SERVER['HTTP_AUTHORIZATION']，若为空再 fallback 到 $request->getHeaderLine('authorization')
用正则提取 token：preg_match('/Bearer\s+(.*)$/i', $authHeader, $matches)，取 $matches[1]，不能简单 substr($auth, 7)（末尾空格或大小写不一致会崩）
若使用 Nginx，确保配置含 proxy_set_header Authorization $http_authorization; 和 fastcgi_param HTTP_AUTHORIZATION $http_authorization;
对空 token、长度不足 20 字符、不含 . 的字符串直接拒绝，避免后续解析抛出不可控异常

HS256 密钥管理的三个致命错误

HS256 是对称加密，密钥一旦泄露即全盘失守。生产环境常见错误不是“不会写”，而是“以为写了就安全了”。

Webman 2.2.0

Webman 2.2.0版本强化了 TCP/UDP 服务支持，优化路由组管理，并增强异步任务处理能力。结合协程与连接池技术，Webman 能轻松应对高并发场景，适用于网站、接口服务、即时通讯、物联网及游戏开发，兼具高性能、灵活扩展与稳定可靠，是多场景 PHP 服务开发的理想选择。

下载

密钥硬编码在 config/plugin/xxx/app.php 中，Git 提交后全员可见
用 md5('123') 或短字符串如 'webman-jwt' 当密钥，低于 32 字节无法满足 HS256 最低熵要求
密钥存在 .env 但文件权限为 644，Web 目录可直接访问（应设为 600 并由 PHP 以 CLI 用户身份读取）
推荐做法：密钥存于 runtime/keys/jwt-secret.bin，启动时 file_get_contents() 加载，文件权限 600，禁止 Web 访问

非对称加密（RS256）密钥加载失败的典型原因

报错 openssl_sign(): supplied key param cannot be coerced into a private key 几乎 100% 是 PEM 格式或路径问题，不是算法选错。

私钥文件必须以 -----BEGIN RSA PRIVATE KEY----- 开头（PKCS#1），不是 -----BEGIN PRIVATE KEY-----（PKCS#8）；可用 openssl rsa -in private.pem -out private_pkcs1.pem 转换
公钥必须是 -----BEGIN PUBLIC KEY----- 格式（非 RSA PUBLIC KEY），用 openssl rsa -in private.pem -pubout -out public.pem 生成
路径必须是绝对路径，file_get_contents('private.key') 在 Swoole Worker 中可能因工作目录不同而失败，应写成 __DIR__ . '/../../runtime/keys/private.key'
调用前加判断：$pkey = openssl_pkey_get_private(file_get_contents($path)); if (!$pkey) { throw new RuntimeException('Invalid private key'); }