PHP中的JWT认证：如何实现无状态API身份验证-php教程-PHP中文网

PHP中的JWT认证：如何实现无状态API身份验证

裘德小鎮的故事

发布： 2025-06-05 12:30:02

原创

281人浏览过

jwt是一种轻量级的无状态身份验证方案，适合前后端分离和分布式系统。1. jwt由header、payload、signature三部分组成，通过签名机制保障安全性；2. 在php中可通过firebase/php-jwt库生成jwt，使用jwt::encode方法编码载荷数据；3. 验证时客户端将token放在请求头，服务端使用jwt::decode解析并处理异常；4. 实际开发需注意秘钥管理、设置合理有效期、https传输、黑名单维护等安全细节。掌握这些步骤即可在php项目中实现安全稳定的jwt认证流程。

PHP中的JWT认证：如何实现无状态API身份验证

在构建现代Web应用时，API的身份验证机制至关重要。JWT（JSON Web Token）作为一种轻量级的无状态身份验证方案，特别适合前后端分离和分布式系统。相比传统的基于Session的认证方式，JWT不需要服务器端存储用户会话信息，从而更易扩展、更适合RESTful API的设计。

下面我们就来看看，在PHP中如何使用JWT来实现一个基本但实用的无状态API身份验证流程。

1. JWT是什么？为什么用它做API认证？

JWT是一种开放标准（RFC 7519），用于在网络应用之间安全地传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。这三个部分通过点号连接，形成一个字符串，例如：

立即学习“PHP免费学习笔记（深入）”；

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx

登录后复制

使用JWT做API认证的优势包括：

无状态：服务端无需保存会话信息，减轻服务器压力。
可跨域使用：适用于多个子域名或不同服务间共享认证状态。
安全性高：通过签名机制防止篡改。

2. PHP中如何生成JWT？

要使用JWT，我们需要先安装一个可靠的库。目前最常用的PHP JWT库是 firebase/php-jwt，可以通过Composer安装：

composer require firebase/php-jwt

登录后复制

然后，你可以使用如下代码生成一个JWT：

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = "your-secret-key"; // 秘钥，应妥善保管
$payload = [
    'iss' => 'http://example.com', // 签发者
    'aud' => 'http://example.org', // 接收方
    'iat' => time(),                // 签发时间
    'exp' => time() + 3600,         // 过期时间
    'data' => [
        'user_id' => 123,
        'username' => 'john_doe'
    ]
];

$jwt = JWT::encode($payload, $key, 'HS256');
echo $jwt;

登录后复制

这个$jwt就是你返回给客户端的token，通常放在响应头或body中。

3. 如何验证客户端发送的JWT？

客户端在后续请求中需要将JWT放在请求头中，比如：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx

登录后复制

在PHP中解析并验证这个token也很简单：

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$headers = getallheaders();
if (!isset($headers['Authorization'])) {
    http_response_code(401);
    echo json_encode(['error' => 'Missing token']);
    exit;
}

list(, $token) = explode(' ', $headers['Authorization']);

try {
    $key = "your-secret-key";
    $decoded = JWT::decode($token, new Key($key, 'HS256'));
    // 解码成功后可以获取用户信息
    $userId = $decoded->data->user_id;
} catch (Exception $e) {
    http_response_code(401);
    echo json_encode(['error' => 'Invalid token']);
    exit;
}

登录后复制

在这个过程中，要注意以下几点：