当前位置：首页 > 文章列表 > 文章 > php教程 > JWT令牌生成与验证方法详解

JWT令牌生成与验证方法详解

2025-09-28 21:39:57 0浏览收藏

IT行业相对于一般传统行业，发展更新速度更快，一旦停止了学习，很快就会被行业所淘汰。所以我们需要踏踏实实的不断学习，精进自己的技术，尤其是初学者。今天golang学习网给大家整理了《PHP实现API认证：JWT令牌生成与验证方法》，聊聊，我们一起来看看吧！

答案：使用JWT实现API认证需选择合适库如firebase/php-jwt，登录后生成含用户信息和过期时间的令牌，客户端通过Authorization头发送Bearer令牌，服务端验证签名、检查有效期并处理异常，建议使用HTTPS、设置合理过期时间、结合HTTP-only Cookie存储，并可选刷新令牌与黑名单机制提升安全性。

如何在PHP中实现API认证？使用JWT生成和验证令牌

API认证的核心在于验证请求者的身份，确保只有授权的用户或应用才能访问受保护的资源。JWT（JSON Web Token）是一种流行的、轻量级的解决方案，用于在客户端和服务器之间安全地传递信息。它通过数字签名保证信息的完整性和可信度。

解决方案

要在PHP中实现API认证，使用JWT生成和验证令牌，你可以遵循以下步骤：

选择JWT库： 首先，你需要选择一个PHP的JWT库。比较流行的选择包括firebase/php-jwt和lcobucci/jwt。这里我们以firebase/php-jwt为例。
```
composer require firebase/php-jwt
```

生成JWT： 在用户登录成功后，生成JWT令牌。令牌包含用户的相关信息（例如用户ID）以及过期时间。

<?php
require_once 'vendor/autoload.php';

use Firebase\JWT\JWT;

$secretKey  = 'your_secret_key'; // 强烈建议使用随机生成的强密钥
$issuedAt   = time();
$expire     = $issuedAt + (60 * 60); // Token 有效期为 1 小时
$serverName = $_SERVER['SERVER_NAME'];

$data = [
    'iat'  => $issuedAt,         // Issued at: 时间戳
    'iss'  => $serverName,       // Issuer
    'nbf'  => $issuedAt,         // Not before
    'exp'  => $expire,           // Expire
    'data' => [                  // Payload
        'userId' => 123,
        'userName' => 'exampleUser'
    ]
];

$jwt = JWT::encode(
    $data,      //Data to be encoded in the JWT
    $secretKey, // The signing key
    'HS256'     // Algorithm used to sign the token, use HS256
);

echo $jwt; // 将 JWT 返回给客户端
?>

客户端存储JWT： 客户端（例如，Web应用或移动应用）需要安全地存储JWT。通常，将其存储在HTTP-only cookie或localStorage中是常见的做法。
发送JWT： 客户端在每个受保护的API请求中，将JWT包含在Authorization头部中，使用Bearer方案。
```
Authorization: Bearer <your_jwt_token>
```

验证JWT： 在服务器端，对于每个受保护的API端点，都需要验证JWT。

<?php
require_once 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$secretKey  = 'your_secret_key';
$jwt = $_SERVER['HTTP_AUTHORIZATION']; // 从Authorization头部获取JWT
$jwt = str_replace('Bearer ', '', $jwt); // 去除Bearer前缀

try {
    $decoded = JWT::decode($jwt, new Key($secretKey, 'HS256'));

    // JWT 验证成功，可以访问 $decoded 中的数据
    $userId = $decoded->data->userId;
    echo "User ID: " . $userId;

} catch (\Exception $e) {
    // JWT 验证失败
    http_response_code(401); // Unauthorized
    echo 'Unauthorized: ' . $e->getMessage();
}
?>

处理过期令牌： 在验证JWT时，库会自动检查令牌是否已过期。如果过期，将抛出一个异常，你需要捕获该异常并返回相应的错误代码（例如，401 Unauthorized）。
续签令牌（可选）： 为了提高安全性，你可以实现令牌续签机制。当令牌接近过期时，客户端可以请求一个新的令牌。

副标题1

如何选择合适的JWT库？

选择JWT库时，应考虑以下因素：

安全性： 库是否维护良好，是否有已知的安全漏洞？
性能： 库的性能如何？它是否会成为性能瓶颈？
易用性： 库的API是否易于使用和理解？
依赖性： 库的依赖性如何？它是否引入了不必要的依赖？
社区支持： 库是否有活跃的社区支持？

firebase/php-jwt是一个广泛使用的选择，因为它相对简单且易于使用。lcobucci/jwt则提供了更多的功能和灵活性，但可能需要更多的配置。

副标题2

如何安全地存储JWT？

JWT的安全性取决于其存储方式。以下是一些建议：

HTTP-only Cookie： 将JWT存储在HTTP-only cookie中可以防止客户端JavaScript访问令牌，从而降低XSS攻击的风险。
localStorage： 如果必须使用JavaScript访问令牌，则可以使用localStorage。但是，这会增加XSS攻击的风险。务必对所有用户输入进行适当的验证和转义。
sessionStorage： sessionStorage与localStorage类似，但仅在浏览器会话期间有效。
避免明文存储： 永远不要在明文中存储JWT。

副标题3

如何处理JWT被盗用的情况？

即使采取了所有预防措施，JWT仍然可能被盗用。以下是一些应对措施：