jwt认证是thinkphp 6.x无状态用户认证的核心解法，含手写中间件、thans/jwt扩展包集成、自建tokenservice+redis黑名单三种方案，分别适配定制化、快速上线与高安全场景。
如果您在 ThinkPHP 6.x 中需构建无状态用户认证体系，但发现传统 Session 方式难以适配前后端分离或分布式部署场景，则 JWT 认证是核心解法。以下是实现身份验证与 Token 刷新的多种可行路径：
一、基于 firebase/php-jwt 手写中间件方案
该方案完全自主控制 JWT 解析、校验与刷新逻辑，不依赖第三方扩展包，便于深度定制与安全审计。密钥从配置读取，payload 严格限定字段，异常捕获完整。
1、执行 composer require firebase/php-jwt 安装官方推荐库。
2、在 app/middleware/JwtAuth.php 创建中间件，于 handle() 方法中调用 $token = $this->request->header('authorization') 提取 Bearer Token。
3、使用 JWT::decode($token, new Key(Env::get('JWT_SECRET'), 'HS256')) 验证签名与 exp/iss/aud 等声明，必须捕获 DomainException、SignatureInvalidException、BeforeValidException、ExpiredException 四类异常。
4、验证通过后，调用 $this->request->withAttr('uid', $payload->uid) 将用户标识注入请求上下文，禁止写入 session 或全局变量。
5、对过期 Token，抛出 TokenExpiredException 并在控制器中触发刷新流程：生成新 Token、将旧 Token 加入 Redis 黑名单（键名格式为 jwt:blacklist:{sha256(旧token)}）、设置 TTL 与原 exp 一致。
二、采用 thans/jwt 扩展包的快速集成方案
该方案封装了签发、校验、黑名单、自动刷新等完整能力，适合快速上线且对扩展性要求不极致的项目。其刷新机制默认启用“无痛刷新”策略，响应头自动携带新 Token。
1、执行 composer require thans/jwt 并运行 php think jwt:install 初始化配置。
2、修改 config/jwt.php，确保 'refresh_ttl' => 20160（14 天）与 'ttl' => 3600（1 小时）形成合理梯度，且 'blacklist_enabled' => true 启用黑名单。
3、在路由定义中为受保护接口添加中间件：thans\jwt\middleware\JWTAuth::class，例如：Route::get('api/user', 'Api/User::index')->middleware(JWTAuth::class)。
4、登录成功后调用 JwtAuth::builder()->setUserId($user->id)->getToken() 生成 Token，并返回至前端。
5、前端监听响应头 X-JWT-Token 字段，若存在则立即更新本地存储的 Token 值，实现无感切换。
三、自建 TokenService + Redis 黑名单方案
该方案将 JWT 核心能力解耦为独立服务类，配合 Redis 实现高可靠黑名单与指纹绑定，适用于对安全性与可追溯性要求极高的金融或政企级系统。
1、新建 app/service/TokenService.php，封装 generate($uid, $fingerprint) 与 verify($token, $fingerprint) 方法，其中 $fingerprint 由 User-Agent + IP + 设备特征哈希生成。
2、签发 Token 时，在 payload 中嵌入 'fingerprint' => $fingerprint 与 'jti' => uniqid('jwt_', true)（唯一标识），并确保 exp 不超过 2 小时。
3、校验前先查 Redis：exists jwt:fingerprint:{$fingerprint}:{$jti}，若存在则直接拒绝；校验通过后，将 jti 写入 jwt:blacklist:{$jti}，TTL 设为 exp - time()。
4、刷新 Token 时，先将当前 jti 加入黑名单，再调用 generate() 生成新 Token，新 Token 的 fingerprint 必须与原值完全一致。
5、在中间件中调用 TokenService::verify($token, $fingerprint)，失败则返回 401 Unauthorized 并附带错误码 INVALID_FINGERPRINT。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
