PHP8.5怎么配置JWT令牌自动续期-php教程-PHP中文网

php 8.5 不内置 jwt 自动续期，需通过双令牌（access_token+refresh_token）、中间件拦截与无感刷新实现；access_token 短时效不入库，refresh_token 加密存库并用 httponly cookie 传输；每次合法请求若 access_token 剩余不足5分钟，则签发新令牌对并原子更新数据库与 cookie。

php8.5怎么配置jwt令牌自动续期

PHP 8.5 本身不内置 JWT 功能，自动续期也不是语言层特性，而是由你选用的 JWT 库和业务逻辑共同实现的。目前主流方案是 双令牌（access_token + refresh_token）+ 中间件拦截 + 无感刷新，关键不在 PHP 版本，而在设计是否合理、时机是否恰当、安全性是否到位。

下面直接说清在 PHP 8.5 环境中落地 JWT 自动续期的实操要点：

access_token 和 refresh_token 要分开设计

access_token：短时效（建议 15–30 分钟），只存 payload，不入库；含 exp、iat、jti、sub；用于每次接口鉴权。
refresh_token：长时效（如 7 天），必须加密存储（bcrypt 哈希后存数据库），字段至少包括：
- token_hash（哈希值，不存明文）
- user_id
- expires_at
- revoked_at（用于主动吊销）
- user_agent 和 ip_address（可选，增强设备绑定）

⚠️ 不要用同一个 token 既当 access 又当 refresh，也不要把 refresh_token 放进 localStorage —— 必须用 HTTP-only + Secure Cookie 传输。

btpanel phpsite 宝塔面板PHP网站
宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

续期不是前端定时换，而是后端响应时动态触发

JWT 自动续期的本质是：每次合法请求通过验证后，检查 access_token 即将过期（比如剩余。

具体流程：

请求到达，中间件提取并验证 access_token；
验证通过后，解析出 exp，计算 exp - time() （即剩余不到 5 分钟）；
若满足，生成新的 access_token（同样含新 exp）和新的 refresh_token；
用事务更新数据库：删除旧 refresh_token 记录 + 插入新哈希记录；
在响应头中设置新 Cookie（Set-Cookie: refresh_token=xxx; HttpOnly; Secure; SameSite=Strict）；
同时在 JSON 响应里返回新 access_token（前端覆盖本地存储）。

PHP 8.5 下推荐技术组合

JWT 库：firebase/php-jwt（稳定、轻量、兼容 PHP 8.5）
数据库：MySQL 或 PostgreSQL（存 refresh_token 哈希）
缓存（可选）：Redis 存 jti 黑名单或设备指纹校验
密钥管理：从环境变量读取（.env），避免硬编码
```
$secret = $_ENV['JWT_SECRET'] ?? 'fallback_secret';
```

关键代码片段（精简示意）

// 生成新 access_token（含自动续期逻辑）
$now = time();
$payload = [
    'sub' => $userId,
    'iat' => $now,
    'exp' => $now + 1800, // 30 分钟
    'jti' => bin2hex(random_bytes(16)),
];

$newToken = \Firebase\JWT\JWT::encode($payload, $secret, 'HS256');

// 生成新 refresh_token 并落库（伪代码）
$rawRefresh = bin2hex(random_bytes(32));
$hash = password_hash($rawRefresh, PASSWORD_ARGON2ID);
Db::insert('refresh_tokens', [
    'user_id' => $userId,
    'token_hash' => $hash,
    'expires_at' => date('Y-m-d H:i:s', $now + 7 * 86400),
    'created_at' => date('Y-m-d H:i:s'),
]);

// 设置安全 Cookie
setcookie('refresh_token', $rawRefresh, [
    'expires' => time() + 7 * 86400,
    'path' => '/',
    'domain' => $_ENV['APP_DOMAIN'] ?? '',
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Strict'
]);