php 8 解析 jwt 必须显式传密钥、指定算法并手动校验时间戳，仅 decode() 不代表验证通过；需用 firebase/php-jwt:^6.10，传 key 对象和算法数组，检查 exp/nbf/iss/aud，并安全提取 uid 等必要字段。
PHP 8 校验并解析 JWT 的核心是：用正确密钥 + 显式算法 + 手动时间校验，三者缺一不可。只调 JWT::decode() 拿到数组不等于验证通过——那只是 Base64 解码，签名、过期、生效时间全没检查。
装对库、传全参数
先确保已安装官方推荐的库：
-
composer require firebase/php-jwt:^6.10（PHP 8 兼容，v6+ 强制要求第 3 个参数） - 别用旧版或
lcobucci/jwt混用——除非你明确需要其事件驱动模型，否则增加复杂度且易出错
关键不是“能不能解”，而是“有没有真正验”。必须显式传入密钥和允许算法数组：
- 错误写法：
JWT::decode($token, $key)→ 缺第 3 参数，v6+ 直接报错或跳过算法校验 - 正确写法：
JWT::decode($token, new Key($key, 'HS256'), ['HS256']) - 密钥类型要匹配：HS256 用字符串，RS256 必须先用
openssl_pkey_get_public()转成资源再传
手动校验时间与签发信息
JWT::decode() 返回的是原始 payload 对象（如 stdClass），它不会自动拒绝过期 token。你必须自己比对：
if (!isset($payload->exp) || $payload->expif (isset($payload->nbf) && $payload->nbf > time()) { throw new Exception('Token not active yet'); }- 检查
iss（签发者）和aud（接收方）是否匹配你的服务域，防止 token 被其他系统误用
所有时间戳都是 UTC，PHP 的 time() 也是 Unix 时间戳，无需时区转换——但别用 date('Y-m-d H:i:s') 去比，会出错。
安全提取用户信息
payload 里只放必要字段，比如 uid（建议用 UUID 或加密 ID，别用数据库自增主键）、role、scope 等：
- 避免塞手机号、邮箱、密码哈希等——JWT 是编码，不是加密，前端可直接解出内容
- 解析后取值示例：
$uid = $payload->uid ?? null;，后续业务逻辑按需查库加载完整用户数据，不要在中间件里查全量 - 把
$uid写进请求上下文（如 ThinkPHP 的$request->withAttr('uid', $uid)），控制器中直接读取，不依赖 session 或全局变量
异常处理要覆盖常见失败点
实际运行中，这些异常几乎每天都会遇到，必须统一捕获并返回 401：
-
DomainException：算法不匹配（如 header 是 HS256，却传了 ['RS256']） -
SignatureInvalidException：密钥错误或 token 被篡改 -
BeforeValidException：nbf 未到时间 -
ExpiredException：exp 已过期（注意：这个异常只在启用validateAt时抛，而firebase/php-jwtv6 默认不启用，所以仍需手动判断 exp）
密钥建议从配置或环境变量读取，例如 $_ENV['JWT_SECRET'] 或 ThinkPHP 的 config('app.jwt_secret')，绝不要硬编码在代码里。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
