ThinkPHP6怎样添加授权Token加密-ThinkPHP-PHP中文网

thinkphp6 使用 jwt 实现无状态鉴权，核心是封装 token 生成与校验逻辑、通过中间件统一拦截验证、安全配置密钥与过期策略，并强化传输存储及敏感操作防护。

thinkphp6怎样添加授权token加密

ThinkPHP6 添加授权 Token 加密，核心是用 JWT（JSON Web Token）替代 Session 实现无状态鉴权。关键不在“添加加密”，而在于正确生成、安全存储、统一校验Token，并确保签名密钥不硬编码、不过期策略合理、传输方式合规。

配置 JWT 依赖与密钥

先安装官方推荐的 JWT 库：

运行 composer require firebase/php-jwt:^6.0（建议用 v6+，兼容 PHP 8+，更安全）
在 config/jwt.php 中集中管理配置，避免写死在逻辑里：

（示例 config/jwt.php）

return [
    'key' => env('JWT_SECRET', 'your_strong_random_string_here'), // 从 .env 读取，严禁明文写死
    'alg' => 'HS256',
    'exp' => 7200, // 2小时过期，按业务调整
    'leeway' => 60, // 容忍时钟偏差 60 秒
];

同时在 .env 文件中添加：

Token Management

集中式 API token 管理。将 token 存于 .env，设失效日期；用脚本批量测权限；在 connections/ 文档记录；设日历提醒续期。防重复索要凭证，保证 token 安全并追踪失效。

下载

JWT_SECRET=9f8e7d6c5b4a3210fedcba9876543210

封装 Token 生成与解析逻辑

不要把 JWT::encode/decode 直接写在控制器里。新建 app/common/JwtAuth.php 封装：

签发 Token：只塞必要字段（如 uid、exp、iat），不传敏感信息（密码、手机号等）
验证 Token：捕获 ExpiredException、SignatureInvalidException 等标准异常，返回结构化错误码
使用 new Key(config('jwt.key'), config('jwt.alg')) 替代旧版字符串密钥传参，符合 v6+ 接口规范

通过中间件统一拦截校验

创建中间件 app/middleware/CheckJwtToken.php：

从请求头 Authorization: Bearer xxx 提取 Token（注意大小写和空格）
调用封装好的 JwtAuth::verify() 方法校验
校验成功后，把用户 ID 注入到 Request 对象或上下文，后续控制器可直接获取：$this->request->uid
对登录、注册等免鉴权接口，跳过该中间件

增强安全性细节

Token 本身不是“加密”，而是签名防篡改。真正要加固的是整个链路：

前端存储 Token 用 httpOnly: false 的 localStorage 或 sessionStorage，禁用 cookie 自动携带
后端响应头加 Access-Control-Expose-Headers: Authorization，方便前端读取新刷新的 Token
敏感操作（如改密、删账号）要求二次验证（如输入原密码或短信验证码），不单靠 Token
退出登录时，服务端可维护一个短期黑名单（如 Redis 缓存已注销 Token 的 jti + exp），防止 Token 被复用

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！