首先安装firebase/php-jwt库，再通过PHP生成包含用户信息和过期时间的JWT令牌，使用密钥签名后返回给客户端；后续请求需在Authorization头中携带该令牌，服务器通过相同密钥验证其有效性，并结合刷新机制保障会话安全。
如果您在开发Web应用时需要实现安全的身份验证机制，JWT（JSON Web Token）是一种常用的选择。通过PHP代码生成和验证JWT令牌，可以有效保障用户会话的安全性。以下是实现JWT认证的具体步骤：
本文运行环境：MacBook Pro，macOS Sonoma
一、安装必要的JWT库
使用PHP实现JWT认证前，需要引入一个可靠的JWT处理库。推荐使用firebase/php-jwt，它提供了简单易用的接口来编码和解码令牌。
1、打开终端并进入项目根目录，执行以下命令安装firebase/php-jwt库：composer require firebase/php-jwt。
立即学习“PHP免费学习笔记（深入）”；
2、确保composer.json文件中已包含该依赖项，并完成自动加载配置。
二、生成JWT令牌
生成JWT令牌的过程包括定义载荷信息（如用户ID、过期时间等），然后使用密钥进行签名加密。
1、在PHP脚本中引入JWT类：use Firebase\JWT\JWT;。
2、设置密钥（应存储在环境变量或配置文件中）：$key = "your_secret_key";。
3、构建令牌的有效载荷，示例如下：
$payload = [
"iss" => "http://example.com",
"aud" => "http://example.org",
"iat" => time(),
"nbf" => time() + 10,
"exp" => time() + 3600, // 一小时后过期
"data" => [
"userId" => 123,
"username" => "testuser"
]
];
4、调用JWT::encode方法生成令牌：$jwt = JWT::encode($payload, $key, 'HS256');。
三、发送JWT令牌给客户端
生成后的JWT令牌可以通过HTTP响应头或响应体返回给前端，通常建议使用Authorization头传输。
1、设置响应头以返回令牌：header('Authorization: Bearer ' . $jwt);。
2、同时可通过JSON格式将令牌写入响应体中以便前端获取：
echo json_encode([
"token" => $jwt,
"message" => "登录成功"
]);
四、验证JWT令牌
当客户端后续请求携带JWT时，服务器需对其进行解析和验证，确保其完整性和有效性。
1、从请求头中提取Bearer类型的令牌：
$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (preg_match('/Bearer\s(\S+)/', $authHeader, $matches)) {
$jwt = $matches[1];
}
2、使用相同的密钥和算法尝试解码令牌：
try {
$decoded = JWT::decode($jwt, $key, ['HS256']);
echo json_encode(["status" => "success", "data" => $decoded]);
} catch (Exception $e) {
http_response_code(401);
echo json_encode(["error" => "无效或过期的令牌", "message" => $e->getMessage()]);
}
五、设置令牌过期与刷新机制
为提升安全性，应在载荷中明确设置过期时间，并可设计单独的刷新令牌流程以延长会话有效期。
1、在生成令牌时设定合理的exp值，避免长期有效的令牌存在。
2、创建独立的刷新接口，接收短期有效的refresh token，验证后发放新的JWT访问令牌。
3、将refresh token存储在安全位置（如HttpOnly Cookie或数据库），并与用户绑定。
