jwt是一种轻量级的无状态身份验证方案，适合前后端分离和分布式系统。1. jwt由header、payload、signature三部分组成，通过签名机制保障安全性；2. 在php中可通过firebase/php-jwt库生成jwt，使用jwt::encode方法编码载荷数据；3. 验证时客户端将Token放在请求头，服务端使用jwt::decode解析并处理异常；4. 实际开发需注意秘钥管理、设置合理有效期、https传输、黑名单维护等安全细节。掌握这些步骤即可在php项目中实现安全稳定的jwt认证流程。
在构建现代Web应用时，API的身份验证机制至关重要。JWT（json Web Token）作为一种轻量级的无状态身份验证方案，特别适合前后端分离和分布式系统。相比传统的基于Session的认证方式，JWT不需要服务器端存储用户会话信息，从而更易扩展、更适合restful API的设计。
下面我们就来看看，在PHP中如何使用JWT来实现一个基本但实用的无状态API身份验证流程。
1. JWT是什么？为什么用它做API认证？
JWT是一种开放标准（RFC 7519），用于在网络应用之间安全地传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。这三个部分通过点号连接，形成一个字符串，例如：
立即学习“PHP免费学习笔记（深入）”；
eyJhbGciOiJIUzI1NiisInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx
使用JWT做API认证的优势包括：
- 无状态：服务端无需保存会话信息，减轻服务器压力。
- 可跨域使用：适用于多个子域名或不同服务间共享认证状态。
- 安全性高：通过签名机制防止篡改。
2. PHP中如何生成JWT？
要使用JWT，我们需要先安装一个可靠的库。目前最常用的PHP JWT库是 firebase/php-jwt，可以通过composer安装：
composer require firebase/php-jwt
然后，你可以使用如下代码生成一个JWT：
use FirebaseJWTJWT; use FirebaseJWTKey; $key = "your-secret-key"; // 秘钥，应妥善保管 $payload = [ 'iss' => 'http://example.com', // 签发者 'aud' => 'http://example.org', // 接收方 'iat' => time(), // 签发时间 'exp' => time() + 3600, // 过期时间 'data' => [ 'user_id' => 123, 'username' => 'john_doe' ] ]; $jwt = JWT::encode($payload, $key, 'HS256'); echo $jwt;
这个$jwt就是你返回给客户端的token，通常放在响应头或body中。
3. 如何验证客户端发送的JWT？
客户端在后续请求中需要将JWT放在请求头中，比如：
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx
在PHP中解析并验证这个token也很简单：
use FirebaseJWTJWT; use FirebaseJWTKey; $headers = getallheaders(); if (!isset($headers['Authorization'])) { http_response_code(401); echo json_encode(['error' => 'Missing token']); exit; } list(, $token) = explode(' ', $headers['Authorization']); try { $key = "your-secret-key"; $decoded = JWT::decode($token, new Key($key, 'HS256')); // 解码成功后可以获取用户信息 $userId = $decoded->data->user_id; } catch (Exception $e) { http_response_code(401); echo json_encode(['error' => 'Invalid token']); exit; }
在这个过程中，要注意以下几点：
- 确保每次请求都携带了正确的token格式。
- 捕获异常处理token过期、签名错误等问题。
- 不要把敏感信息放在payload里，如密码等。
4. 实际开发中的注意事项
虽然JWT很强大，但在实际使用中也有一些容易忽略的地方：
- 秘钥管理：不要硬编码在代码中，建议从环境变量读取。
- Token有效期控制：合理设置exp字段，避免长期有效的token带来安全隐患。
- 刷新机制：如果需要支持token刷新，可以结合refresh token的方式。
- HTTPS传输：一定要使用HTTPS，否则token可能被窃取。
- 黑名单/吊销机制：JWT本身不支持吊销，如果需要提前失效，需额外维护黑名单。
基本上就这些。只要掌握好生成和验证的基本流程，并注意安全细节，就能在PHP项目中轻松集成JWT认证。对于小型到中型项目来说，这套机制已经足够灵活且稳定。
