yii2应用需生成jwt格式云端上传凭证，含指定路径、文件类型、大小限制、时效性及签名防篡改，通过安全组件生成盐值、配置密钥分离、严格路径匹配与二次文件过滤实现安全上传。
你需要为Yii2应用生成具备时效性、防伪造的云端上传凭证，确保用户只能在指定时间内向指定存储路径上传指定类型和大小的文件，且凭证无法被重放或篡改。
生成带签名与过期时间的上传凭证
第一步：在控制器中调用安全组件生成JWT格式凭证。【必须使用Yii::$app->getSecurity()->generateRandomString()生成密钥盐，不可硬编码】
第二步：构造凭证载荷（payload），包含目标存储路径（如user/123/avatar/）、允许的文件扩展名（['jpg','png']）、最大单文件尺寸（2097152字节）、生效时间（time()）和过期时间（time() + 3600）。
第三步：用Lcobucci\JWT\Builder签名并设置密钥——密钥必须从配置文件读取，且不能与Web应用主密钥相同。
这一步操作起来很简单，直接把文件拖进去就行。
验证上传请求中的凭证有效性
方法一：在文件上传动作入口处拦截请求，提取Authorization头或token参数。
方法二：用Lcobucci\JWT\Parser解析JWT，捕获ExpiredException和SignatureInvalidException异常。
方法三：验证载荷中exp字段是否早于当前时间戳，且path字段与实际上传目标路径完全匹配——【路径必须逐字符比对，禁止模糊匹配或前缀判断】
绑定凭证到具体上传行为
① 在视图中将凭证注入表单隐藏域：<input type="hidden" name="upload_token" value="<?= $token ?>">。
② 提交时，后端在UploadForm::rules()中不校验文件本身，而是先校验upload_token字段存在且通过JWT验证。
③ 验证通过后，才调用UploadedFile::getInstance()获取文件，并依据凭证中声明的extensions和maxSize执行二次过滤。
④ 最终保存路径必须严格拼接凭证中path与客户端提交的filename，禁止任何路径穿越字符（如../）——【若原始文件名含..或/，立即拒绝】
