首先安装 tymon/jwt-auth 包并注册服务提供者，接着生成配置文件与密钥，然后修改 auth 配置使用 jwt 驱动，用户模型实现 JWTSubject 接口，创建登录登出接口处理 Token 生成与销毁，通过 auth:api 中间件保护路由，并可刷新 Token 以延长有效期，完成 Laravel JWT 认证体系搭建。
在 Laravel 中实现 JWT（JSON Web Tokens）认证，通常使用 tymon/jwt-auth 这个广泛支持的扩展包。它可以帮助你快速搭建基于 Token 的用户认证系统，适用于 API 开发场景。
安装 jwt-auth 扩展包
在 Laravel 项目根目录下运行以下命令来安装 JWT 认证包：
composer require tymon/jwt-auth
安装完成后，如果你使用的是 Laravel 8 及以上版本，需要手动注册服务提供者（Laravel 9+ 可能不需要）：
在 config/app.php 中添加：
'providers' => [
...
Tymon\JWTAuth\Providers\LaravelServiceProvider::class,
],
'aliases' => [
...
'JWTAuth' => Tymon\JWTAuth\Facades\JWTAuth::class,
'JWTFactory' => Tymon\JWTAuth\Facades\JWTFactory::class,
],
生成 JWT 配置文件
运行以下命令生成配置文件和密钥：
php artisan vendor:publish --provider="Tymon\JWTAuth\Providers\LaravelServiceProvider"
然后生成 JWT 的 secret key：
php artisan jwt:secret
这会在 .env 文件中自动添加一行：
JWT_SECRET=your_random_string
配置 auth.php 支持 JWT
修改 config/auth.php，将 API 认证驱动改为 jwt：
'guards' => [
'web' => [
'driver' => 'session',
'provider' => 'users',
],
'api' => [
'driver' => 'jwt',
'provider' => 'users',
],
],
在 User 模型中使用 JWTSubject
确保你的 User 模型实现了 JWTSubject 接口：
use Tymon\JWTAuth\Contracts\JWTSubject;
class User extends Authenticatable implements JWTSubject
{
// ...
public function getJWTIdentifier()
{
return $this->getKey();
}
public function getJWTCustomClaims()
{
return [];
}
}
创建登录和登出接口
在控制器中处理登录并返回 Token：
use Tymon\JWTAuth\Facades\JWTAuth;
use Tymon\JWTAuth\Exceptions\JWTException;
class AuthController extends Controller
{
public function login(Request $request)
{
$credentials = $request->only('email', 'password');
try {
if (! $token = JWTAuth::attempt($credentials)) {
return response()->json(['error' => 'invalid_credentials'], 401);
}
} catch (JWTException $e) {
return response()->json(['error' => 'could_not_create_token'], 500);
}
return response()->json(compact('token'));
}
public function logout()
{
JWTAuth::invalidate(JWTAuth::getToken());
return response()->json(['message' => 'Successfully logged out']);
}
}
保护路由
在 routes/api.php 中使用中间件保护 API 路由：
Route::group(['middleware' => 'auth:api'], function () {
Route::get('/user', function () {
return auth()->user();
});
Route::post('/logout', [AuthController::class, 'logout']);
});
登录接口无需保护，其他敏感接口加上 auth:api 中间件即可自动验证 Token。
处理 Token 刷新与过期
你可以通过以下方式刷新 Token（延长有效期）：
public function refresh()
{
try {
$newToken = JWTAuth::refresh();
} catch (JWTException $e) {
return response()->json(['error' => 'cannot_refresh_token'], 500);
}
return response()->json(compact('newToken'));
}
默认 Token 有效期在 config/jwt.php 中配置，如 'ttl' => 60 表示 60 分钟过期。
