当前位置：首页 > 文章列表 > 文章 > php教程 > PHP手把手教你玩JWT令牌，从生成到验证超详细教程

PHP手把手教你玩JWT令牌，从生成到验证超详细教程

2025-06-22 17:12:18 0浏览收藏

想用PHP玩转JWT令牌？本文手把手教你！作为保障API安全的关键技术，JWT的生成与验证至关重要。本文将深入讲解如何使用PHP的firebase/php-jwt库，从Composer安装到JWT生成、传递、验证，再到过期时间设置、JWT刷新以及防止篡改等全流程。内容涵盖payload构建、密钥设置、Authorization头部使用、异常处理，更有短、中、长过期时间选择建议，以及refresh token刷新机制和HTTPS传输等安全措施。掌握这些技巧，让你的PHP应用轻松驾驭JWT，打造安全可靠的API接口。

PHP处理JWT令牌的核心在于验证和生成，确保API安全可靠。1. 引入JWT库：通过Composer安装firebase/php-jwt；2. 生成JWT：构建包含用户信息的payload并使用密钥签名；3. 传递JWT：将生成的令牌返回客户端并通过Authorization头部发送；4. 验证JWT：从请求头中获取并使用密钥验证令牌，捕获异常处理错误；5. 设置合适的过期时间：根据应用场景选择短、中或长过期时间；6. 处理JWT刷新：颁发refresh token并与数据库关联，实现无感刷新；7. 防止JWT被篡改：使用强密钥、定期更换、保护存储及使用HTTPS传输。

PHP怎样处理JWT令牌 PHP处理JWT令牌完整流程解析

PHP处理JWT令牌的核心在于验证和生成，确保你的API安全可靠。简单来说，就是用一个密钥对用户身份信息进行签名，然后客户端带着这个签名来访问你的API，你再用同样的密钥验证这个签名，确认身份。

解决方案

PHP处理JWT令牌主要分为以下几个步骤：

引入JWT库： 首先，你需要一个JWT库来简化操作。比较流行的选择是firebase/php-jwt。你可以通过Composer安装：
```
composer require firebase/php-jwt
```

生成JWT： 当用户登录成功后，你需要生成一个JWT。这通常涉及到以下步骤：

构建payload： Payload包含你想在令牌中存储的用户信息，例如用户ID、用户名、权限等。Payload必须是JSON格式。

$payload = array(
    "iss" => "your-domain.com",  // 签发者
    "aud" => "your-domain.com",  // 接收者
    "iat" => time(),            // 签发时间
    "nbf" => time(),            // 生效时间
    "exp" => time() + 3600,      // 过期时间（1小时）
    "user_id" => $user_id,       // 用户ID
    "username" => $username      // 用户名
);

设置密钥： 密钥用于签名JWT。务必使用一个强壮的、只有服务器知道的密钥。
```
$key = "YourSecretKey"; // 请替换成你的强密钥
```

生成JWT： 使用JWT库生成令牌。

use Firebase\JWT\JWT;

$jwt = JWT::encode($payload, $key, 'HS256');

传递JWT： 将生成的JWT返回给客户端。客户端通常会将JWT存储在localStorage、sessionStorage或cookie中，并在后续的请求中通过Authorization头部（Bearer Token）发送给服务器。

验证JWT： 在API端点，你需要验证JWT。

从请求头中获取JWT：

$authHeader = $_SERVER['HTTP_AUTHORIZATION'];
$jwt = str_replace('Bearer ', '', $authHeader); // 移除 "Bearer " 前缀

验证JWT： 使用JWT库验证令牌。

use Firebase\JWT\JWT;
use Firebase\JWT\Key;
use Firebase\JWT\ExpiredException;
use Firebase\JWT\SignatureInvalidException;
use Firebase\JWT\BeforeValidException;

try {
    $decoded = JWT::decode($jwt, new Key($key, 'HS256'));
    // JWT验证成功，可以访问 $decoded 获取payload中的信息
    $user_id = $decoded->user_id;
    $username = $decoded->username;

} catch (ExpiredException $e) {
    // 令牌已过期
    http_response_code(401);
    echo json_encode(array("message" => "Token expired."));
} catch (SignatureInvalidException $e) {
    // 签名无效
    http_response_code(401);
    echo json_encode(array("message" => "Invalid signature."));
} catch (BeforeValidException $e) {
    // 令牌尚未生效
    http_response_code(401);
    echo json_encode(array("message" => "Token not yet valid."));
} catch (\Exception $e) {
    // 其他错误
    http_response_code(401);
    echo json_encode(array("message" => "Invalid token."));
}

如何选择合适的JWT过期时间？

过期时间的选择取决于你的应用场景。

短过期时间 (例如 15 分钟 - 1 小时): 适合安全性要求高的应用，例如银行应用。即使令牌泄露，风险也很小。但用户需要频繁刷新令牌。
中等过期时间 (例如 1 天 - 1 周): 适合大部分应用，在安全性和用户体验之间取得平衡。
长过期时间 (例如 1 个月 - 1 年): 不推荐。如果令牌泄露，风险很大。只适合对安全性要求极低的应用，例如只需要识别用户身份的应用。

记住，永远不要将敏感信息直接存储在JWT的payload中。Payload可以被客户端解码，所以只能存储非敏感信息，例如用户ID。

如何处理JWT刷新？

JWT刷新是指在JWT过期之前，获取一个新的JWT。这可以避免用户频繁登录。常见的做法是使用refresh token。

颁发refresh token： 在用户登录成功后，除了颁发JWT之外，还颁发一个refresh token。Refresh token的过期时间通常比JWT长。
存储refresh token： 将refresh token存储在数据库中，与用户ID关联。
刷新JWT： 当JWT过期后，客户端使用refresh token向服务器请求新的JWT。服务器验证refresh token的有效性，如果有效，则颁发新的JWT和refresh token。

需要注意的是，refresh token也需要保护。建议使用HTTPS协议，并对refresh token进行加密存储。