PHP中的JWT：如何实现无状态身份验证-php教程-PHP中文网

PHP中的JWT：如何实现无状态身份验证

穿越時空

发布： 2025-06-24 09:18:02

原创

959人浏览过

在php中实现jwt无状态身份验证的解决方案包括以下步骤：1. 安装jwt库，推荐使用firebase/php-jwt并通过composer安装；2. 用户登录成功后生成jwt，包含header、payload和signature三部分，其中payload应包含iss、aud、iat、nbf、exp等标准声明及用户相关信息；3. 在需要身份验证的api端点验证jwt，从请求头获取令牌并使用与生成时相同的密钥进行解码验证；4. 客户端需安全存储jwt并在每次请求受保护资源时将其放入authorization头部；5. 选择jwt库时考虑安全性、易用性、性能和维护情况，firebase/php-jwt是合适的选择；6. payload中应仅包含必要信息，避免敏感数据；7. 处理过期机制可通过刷新令牌或重新登录实现；8. 需防范密钥泄露、算法混淆、重放攻击和xss等安全问题，采取如使用环境变量保存密钥、禁用none算法、使用jti防止重放、通过httponly cookies存储令牌等措施。

PHP中的JWT：如何实现无状态身份验证

在PHP中，JWT（JSON Web Token）是一种流行的无状态身份验证方法，它允许你验证用户身份，而无需在服务器端存储会话信息。简单来说，就是用户登录后，服务器给用户发一个“令牌”，以后用户每次请求都带着这个令牌，服务器验证令牌有效性，就知道用户是谁了。

解决方案

要在PHP中使用JWT实现无状态身份验证，你需要以下几个步骤：

立即学习“PHP免费学习笔记（深入）”；

安装JWT库： 推荐使用firebase/php-jwt库。可以使用Composer安装：
```
composer require firebase/php-jwt
```
登录后复制

生成JWT： 当用户成功登录后，你需要生成一个JWT。JWT包含三部分：Header（头部）、Payload（载荷）、Signature（签名）。

Header： 通常包含令牌类型和所使用的加密算法。
Payload： 包含声明（claims）。声明是一些关于实体（通常是用户）和其他数据的声明。有三种类型的声明：registered, public, and private claims。
Signature： 用于验证消息的完整性，确保消息在传输过程中没有被篡改。

<?php
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;

$key = "your_secret_key"; // 密钥，务必保密
$payload = array(
    "iss" => "http://example.org", // 签发者
    "aud" => "http://example.com", // 接收方
    "iat" => time(),              // 签发时间
    "nbf" => time(),              // 生效时间
    "exp" => time() + 3600,       // 过期时间，这里设置为1小时后
    "user_id" => 123,              // 用户ID，自定义数据
    "username" => "johndoe"
);

$jwt = JWT::encode($payload, $key, 'HS256');
echo $jwt; // 将JWT返回给客户端
?>

登录后复制

验证JWT： 在需要身份验证的API端点，你需要验证客户端发送的JWT。

<?php
require_once 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$key = "your_secret_key"; // 密钥，务必与生成JWT时使用的密钥一致
$jwt = $_SERVER['HTTP_AUTHORIZATION']; // 从请求头中获取JWT，通常放在Authorization头部

if (!$jwt) {
    http_response_code(401);
    echo json_encode(array("message" => "Access denied."));
    exit;
}

try {
    $decoded = JWT::decode($jwt, new Key($key, 'HS256'));
    // JWT验证成功，可以访问受保护的资源
    echo json_encode(array(
        "message" => "Access granted.",
        "data" => $decoded
    ));
} catch (\Exception $e) {
    http_response_code(401);
    echo json_encode(array(
        "message" => "Access denied.",
        "error" => $e->getMessage()
    ));
}
?>

登录后复制

客户端存储和发送JWT： 客户端需要将JWT存储在安全的地方，例如LocalStorage或Cookies（HttpOnly）。每次向需要身份验证的API端点发送请求时，都需要将JWT放在Authorization请求头中，格式为Bearer <JWT>。

如何选择合适的JWT库？

选择JWT库时，需要考虑几个因素：

百度文心百中

百度大模型语义搜索体验中心

查看详情

安全性： 确保库使用安全的加密算法，例如HS256、HS384、HS512、RS256等。
易用性： 选择一个易于使用、文档完善的库。
性能： 库的性能也很重要，特别是对于高流量的应用程序。
维护： 选择一个积极维护的库，以便及时修复漏洞。

firebase/php-jwt是一个流行的选择，因为它安全、易用、性能良好，并且有良好的社区支持。其他选择包括lcobucci/jwt，但firebase/php-jwt通常被认为更简单易用。

JWT的Payload中应该包含哪些信息？

Payload应该包含尽可能少的信息，只包含必要的声明。常见的声明包括：

iss (issuer)：签发者
sub (subject)：主题（通常是用户ID）
aud (audience)：接收方
exp (expiration time)：过期时间
nbf (not before)：生效时间
iat (issued at)：签发时间
jti (JWT ID)：JWT的唯一标识符

除了这些注册声明，你还可以添加自定义的声明，例如用户的角色、权限等。但要记住，Payload是经过Base64编码的，可以被任何人读取，所以不要在Payload中包含敏感信息，比如密码。

如何处理JWT的过期？

JWT的过期时间是一个重要的安全措施。当JWT过期后，客户端需要重新获取一个新的JWT。这通常通过以下两种方式实现：

刷新令牌（Refresh Token）： 在用户登录时，除了返回JWT，还返回一个刷新令牌。当JWT过期后，客户端可以使用刷新令牌向服务器请求一个新的JWT，而无需用户重新登录。
重新登录： 当JWT过期后，客户端直接跳转到登录页面，要求用户重新登录。

刷新令牌机制更方便用户，但需要服务器端存储刷新令牌，增加了复杂性。选择哪种方式取决于你的应用场景和安全需求。

JWT的安全性问题和防范措施

虽然JWT本身很安全，但如果使用不当，也可能存在安全问题。一些常见的安全问题包括：

密钥泄露： 如果密钥泄露，攻击者可以伪造任意JWT。因此，务必保护好密钥，不要将其存储在代码中，可以使用环境变量或配置文件。
算法混淆： 攻击者可能将算法设置为none，从而绕过签名验证。确保你的JWT库禁用none算法。
重放攻击： 攻击者可以截获有效的JWT，并在过期前重复使用。可以使用jti声明来防止重放攻击。
跨站脚本攻击（XSS）： 如果JWT存储在LocalStorage中，可能会受到XSS攻击。可以使用HttpOnly Cookies来存储JWT，以防止XSS攻击。