应弃用已归档的tymon/jwt-auth，改用laravel官方sanctum（推荐）或firebase/php-jwt（需标准jwt时）；sanctum支持多模型认证且配置简单，firebase/php-jwt轻量兼容php8.2+。
别装 tymon/jwt-auth 了。它已归档三年，Laravel 9/10 + PHP 8.2+ 下大概率报错：Class 'Tymon\JWTAuth\Providers\LaravelServiceProvider' not found 或依赖冲突——不是你操作有误，是包本身不再维护，底层容器、异常处理、签名机制全过时。
用 Sanctum 支持多模型（推荐首选）
Sanctum 是 Laravel 官方维护的轻量认证方案，天然支持多模型（User、Admin、Merchant 等），无需改核心逻辑，也无需手写签发验证。
- 运行
composer require laravel/sanctum，再执行php artisan sanctum:install（自动生成 migration 和配置） - 每个需认证的模型（如
App\Models\Admin）都混入HasApiTokenstrait：use Laravel\Sanctum\HasApiTokens;class Admin extends Model implements AuthenticatableContract { use HasApiTokens; ... } - 登录时按模型调用：
用户登录：$user->createToken('web')->plainTextToken
管理员登录：$admin->createToken('admin-panel')->plainTextToken - 路由保护用不同中间件别名：在
app/Http/Kernel.php的$middlewareGroups['api']中注册别名，例如：'auth:admin' => \Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class,
再在config/auth.php的guards下新增：'admin' => ['driver' => 'sanctum', 'provider' => 'admins'],
并确保providers.admins.model指向App\Models\Admin
手写真 JWT（需跨系统互通或强制 HS256）
若必须用标准 JWT（比如对接 Python 微服务、前端要解析 payload），放弃所有过时包，用 firebase/php-jwt —— 单文件、无依赖、PHP 8.2+ 原生兼容。
- 执行
composer require firebase/php-jwt - 生成密钥（存于
.env）：JWT_KEY=base64_encoded_32_byte_random_string
可用php -r "echo base64_encode(random_bytes(32));"生成 - 封装一个简单 Service（例如
app/Services/JwtService.php）：
签发：$token = JWT::encode($payload, base64_decode(env('JWT_KEY')), 'HS256');
验证：$payload = JWT::decode($token, base64_decode(env('JWT_KEY')), ['HS256']); - 多模型支持靠 payload 区分：
$payload = ['sub' => 'admin:123', 'exp' => now()->addHours(2)->timestamp];
验证后根据$payload->sub前缀（如admin:、user:）动态加载对应模型
关键避坑点
无论选哪种方式，以下细节错一个就 401：
- 前端请求头必须带完整格式：
Authorization: Bearer eyJ0eXAiOi...—— 漏掉Bearer（注意空格）是最高频失败原因 - Sanctum 默认只校验 token 存在性与签名，如需数据库级校验（比如 token 被手动禁用），需在中间件里加查表逻辑
- 不要在
config/auth.php里把 guard driver 写成jwt—— Sanctum 不识别该驱动，会静默失效 - 多模型下，各模型的
$fillable和$casts需独立检查，避免createToken()因字段不可写而静默失败
