jwt_secret必须设为≥32字符高强度随机字符串，写入.env并用env()读取，禁止硬编码或git提交；nginx/apache需透传authorization头；decode时须用new key且算法数组对齐，避免signatureinvalidexception。
直接写 JWT_SECRET= 就行，但必须确保值是高强度随机字符串，且不能出现在 Git 里。
Env 文件里 JWT_SECRET 的写法
在项目根目录的 .env 文件中，添加一行：
JWT_SECRET=U8vKxR2qL9mNpE5sY7tFjW4cB6dH1aZ3
这个值必须满足：
- 长度 ≥32 字符（HS256 最低要求 256 位，即 32 字节）
- 用
openssl rand -base64 48 | tr -d '\n'生成，别手写123456或md5('xxx') - 不能含换行、空格、BOM 等不可见字符（复制后建议用
echo "xxx" | hexdump -C检查） -
.env文件权限设为600，并确认已加入.gitignore
config/jwt.php 怎么读取 env 中的密钥
在 config/jwt.php 中，必须用 env() 函数读取，不能硬编码：
return [
'secret' => env('JWT_SECRET', ''),
'algorithm' => 'HS256',
'key_path' => '', // HS256 下留空
];
注意几个关键点：
-
env('JWT_SECRET', '')第二个参数不能为空字符串以外的默认值（比如'fallback'），否则测试环境可能误用弱密钥 - 如果用了 RSA，这里就该填
'private_key' => env('JWT_PRIVATE_KEY', 'runtime/keys/jwt-private.key')，secret字段必须删掉或设为null - 修改后必须运行
php think clear:config，否则 ThinkPHP 会缓存旧配置
为什么 $request->header('authorization') 总是 null
这不是 PHP 或 ThinkPHP 的问题，是 Web 服务器没把头透过来：
- Nginx 需加：
proxy_set_header Authorization $http_authorization;（在location块内） - Apache 需启用
mod_headers，并在虚拟主机中加：RequestHeader set Authorization "%{HTTP:Authorization}e" - ThinkPHP 内部统一转小写，所以只能用
$request->header('authorization')，不能写'Authorization'或'bearer' - 提取 token 必须用正则：
preg_match('/^Bearer\s+(?<token>[^\s]+)$/i', $auth, $m)</token>，别用explode(' ', $auth)[1]
JWT::decode() 报 SignatureInvalidException 的真实原因
不是“密钥错了”，而是“密钥不一致”或“算法没对齐”：
- 签发时用的
JWT::encode($payload, $key, 'HS256')，验证时却传了JWT::decode($token, $key, ['HS512'])→ 直接崩 - 密钥从
.env读出来带末尾换行？用rtrim(env('JWT_SECRET'))更稳妥 - 用了非对称算法（如
RS256），但decode()还传字符串密钥，必须改用new Key($pubkey, 'RS256') - Token header 里是
"alg":"HS512"，但decode()第三个参数漏了：['HS256', 'HS512']→ 默认只认第一个
最常被忽略的一点：JWT_SECRET 在 .env 里看着一样，但开发机和生产机加载的是不同文件；或者清缓存后没重启 FPM，导致旧密钥还在内存里跑。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
