PHP实现JWT认证的完整步骤

首先安装firebase/php-jwt库，再通过PHP生成包含用户信息和过期时间的JWT令牌，使用密钥签名后返回给客户端；后续请求需在Authorization头中携带该令牌，服务器通过相同密钥验证其有效性，并结合刷新机制保障会话安全。

如果您在开发Web应用时需要实现安全的身份验证机制，JWT（JSON Web Token）是一种常用的选择。通过PHP代码生成和验证JWT令牌，可以有效保障用户会话的安全性。以下是实现JWT认证的具体步骤：

本文运行环境：MacBook Pro，macOS Sonoma

一、安装必要的JWT库

使用PHP实现JWT认证前，需要引入一个可靠的JWT处理库。推荐使用firebase/php-jwt，它提供了简单易用的接口来编码和解码令牌。

1、打开终端并进入项目根目录，执行以下命令安装firebase/php-jwt库：composer require firebase/php-jwt。

2、确保composer.json文件中已包含该依赖项，并完成自动加载配置。

二、生成JWT令牌

生成JWT令牌的过程包括定义载荷信息（如用户ID、过期时间等），然后使用密钥进行签名加密。

1、在PHP脚本中引入JWT类：use Firebase\JWT\JWT;。

2、设置密钥（应存储在环境变量或配置文件中）：$key = "your_secret_key";。

3、构建令牌的有效载荷，示例如下：

$payload = [

    "iss" => "http://example.com",

    "aud" => "http://example.org",

    "iat" => time(),

    "nbf" => time() + 10,

    "exp" => time() + 3600, // 一小时后过期

    "data" => [

        "userId" => 123,

        "username" => "testuser"

    ]

];

4、调用JWT::encode方法生成令牌：$jwt = JWT::encode($payload, $key, 'HS256');。

三、发送JWT令牌给客户端

生成后的JWT令牌可以通过HTTP响应头或响应体返回给前端，通常建议使用Authorization头传输。

1、设置响应头以返回令牌：header('Authorization: Bearer ' . $jwt);。

2、同时可通过JSON格式将令牌写入响应体中以便前端获取：

echo json_encode([

    "token" => $jwt,

    "message" => "登录成功"

]);

四、验证JWT令牌

当客户端后续请求携带JWT时，服务器需对其进行解析和验证，确保其完整性和有效性。

1、从请求头中提取Bearer类型的令牌：

$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';

if (preg_match('/Bearer\s(\S+)/', $authHeader, $matches)) {

    $jwt = $matches[1];

}

2、使用相同的密钥和算法尝试解码令牌：

try {

    $decoded = JWT::decode($jwt, $key, ['HS256']);

    echo json_encode(["status" => "success", "data" => $decoded]);

} catch (Exception $e) {

    http_response_code(401);

    echo json_encode(["error" => "无效或过期的令牌", "message" => $e->getMessage()]);

}

五、设置令牌过期与刷新机制

为提升安全性，应在载荷中明确设置过期时间，并可设计单独的刷新令牌流程以延长会话有效期。

1、在生成令牌时设定合理的exp值，避免长期有效的令牌存在。

2、创建独立的刷新接口，接收短期有效的refresh token，验证后发放新的JWT访问令牌。

3、将refresh token存储在安全位置（如HttpOnly Cookie或数据库），并与用户绑定。