php如何使用JWT进行身份验证？PHP JWT用户身份验证流程-php教程-PHP中文网

php如何使用JWT进行身份验证？PHP JWT用户身份验证流程

穿越時空

发布： 2025-09-13 23:27:01

原创

224人浏览过

使用JWT进行身份验证需生成并验证加密令牌。首先安装firebase/php-jwt库，生成包含用户信息的Payload（不含敏感数据），用强密钥签名并返回客户端，建议通过HttpOnly、Secure Cookie存储。服务端从Authorization头获取JWT，验证签名与过期时间，解析后获取用户信息。为应对过期，可采用刷新令牌机制或滑动窗口策略；为防篡改，应使用HTTPS、保护密钥、禁用none算法；撤销JWT可通过黑名单、缩短有效期或废除刷新令牌实现。需防范算法混淆、密钥猜测、重放攻击等安全风险，选择安全、易用、高性能且持续维护的JWT库。

php如何使用jwt进行身份验证？php jwt用户身份验证流程

PHP中使用JWT进行身份验证，简单来说，就是用一段加密的“通行证”来证明用户的身份，服务端验证这个“通行证”的真伪，从而决定是否允许用户访问受保护的资源。

使用JWT进行身份验证，主要涉及生成JWT、验证JWT这两个核心步骤。

JWT生成与存储：如何安全可靠地生成并存储JWT？

首先，你需要一个JWT库。推荐使用

firebase/php-jwt

登录后复制

，可以通过composer安装：

composer require firebase/php-jwt

登录后复制

。

生成JWT的过程大致如下：

立即学习“PHP免费学习笔记（深入）”；

准备Payload: Payload是JWT的核心，包含用户的信息，例如用户ID、用户名等。注意不要包含敏感信息，比如密码。

$payload = array(
    "iss" => "your-domain.com",  // 签发者
    "aud" => "your-domain.com",  // 接收者
    "iat" => time(),             // 签发时间
    "nbf" => time(),             // 生效时间
    "exp" => time() + 3600,      // 过期时间 (1小时)
    "user_id" => $user_id,       // 用户ID
    "username" => $username      // 用户名
);

登录后复制

设置密钥: 密钥用于签名JWT，必须保密。生产环境应该使用强密钥，并且妥善保管。
```
$key = "your_secret_key"; // 替换成你的密钥
```
登录后复制

生成JWT: 使用JWT库生成JWT。

use Firebase\JWT\JWT;

$jwt = JWT::encode($payload, $key, 'HS256');

登录后复制

存储JWT: 生成JWT后，需要将其返回给客户端。通常，JWT会存储在客户端的localStorage或cookie中。但需要注意XSS攻击，建议使用
```
HttpOnly
```
登录后复制
的cookie，并且设置
```
Secure
```
登录后复制
标志，只允许HTTPS传输。也可以考虑使用
```
SameSite
```
登录后复制
属性，防止CSRF攻击。
```
setcookie("jwt", $jwt, time() + 3600, "/", "", true, true); // HttpOnly, Secure
```
登录后复制

JWT验证：如何验证JWT的有效性并提取用户信息？

验证JWT的过程与生成JWT相反。

接收JWT: 客户端在请求受保护的资源时，需要将JWT放在请求头中（通常是
```
Authorization
```
登录后复制
头，使用
```
Bearer
```
登录后复制
方案）。
```
Authorization: Bearer <JWT>
```
登录后复制

提取JWT: 服务端从请求头中提取JWT。

$authHeader = $_SERVER['HTTP_AUTHORIZATION'];
$jwt = str_replace('Bearer ', '', $authHeader);

登录后复制

验证JWT: 使用JWT库验证JWT的签名和过期时间。

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

try {
    $decoded = JWT::decode($jwt, new Key($key, 'HS256'));
    // JWT 验证成功
    $user_id = $decoded->user_id;
    $username = $decoded->username;

} catch (\Exception $e) {
    // JWT 验证失败
    http_response_code(401); // Unauthorized
    echo json_encode(array("message" => "Access denied.", "error" => $e->getMessage()));
    exit;
}

登录后复制

使用用户信息: 如果JWT验证成功，就可以从
```
$decoded
```
登录后复制
对象中获取用户信息，并用于后续的业务逻辑。

如何处理JWT过期？

JWT过期是身份验证中常见的问题。常见的处理方式有两种：

Blackink AI纹身生成

创建类似纹身的设计，生成独特纹身

查看详情

刷新令牌 (Refresh Token): 使用一对令牌：JWT (Access Token) 和刷新令牌 (Refresh Token)。 JWT的过期时间较短，当JWT过期时，客户端使用刷新令牌向服务器请求新的JWT。刷新令牌的过期时间可以较长，但需要更严格的保护。刷新令牌通常存储在数据库中，以便服务器可以撤销刷新令牌。
滑动窗口: 每次验证JWT成功后，都重新生成一个新的JWT，并返回给客户端。这样，JWT的过期时间就会不断延长。但需要注意，这种方式可能会导致JWT的过期时间无限延长，需要谨慎使用。

如何防止JWT被篡改？

JWT的安全性依赖于密钥的保密性。如果密钥泄露，攻击者就可以伪造JWT。因此，需要采取以下措施来保护密钥：

使用强密钥: 使用足够长的随机字符串作为密钥。
妥善保管密钥: 不要将密钥硬编码在代码中。可以使用环境变量、配置文件或专门的密钥管理系统来存储密钥。
定期更换密钥: 定期更换密钥可以降低密钥泄露的风险。
使用HTTPS: 使用HTTPS可以防止中间人攻击，保护JWT在传输过程中不被窃取。

如何撤销JWT？

有时候，需要主动撤销JWT，例如用户注销、用户被禁用等。由于JWT是无状态的，服务器无法直接撤销JWT。常见的处理方式有：

黑名单: 将已撤销的JWT添加到黑名单中。每次验证JWT时，都先检查JWT是否在黑名单中。这种方式需要维护一个黑名单，会增加服务器的负担。
缩短过期时间: 缩短JWT的过期时间，可以减少已撤销的JWT的有效时间。
刷新令牌: 如果使用刷新令牌，可以在用户注销或被禁用时，撤销刷新令牌，从而阻止用户获取新的JWT。

JWT的常见安全漏洞有哪些？

除了密钥泄露，JWT还存在一些其他的安全漏洞：

算法混淆: 攻击者可以将JWT的
```
alg
```
登录后复制
字段修改为
```
none
```
登录后复制
，从而绕过签名验证。应该在代码中明确指定使用的签名算法，并禁止使用
```
none
```
登录后复制
算法。
密钥猜测: 如果密钥过于简单，攻击者可以通过暴力破解或字典攻击来猜测密钥。应该使用足够长的随机字符串作为密钥。
重放攻击: 攻击者可以截获JWT，并在之后重新发送。可以使用nonce（一次性随机数）来防止重放攻击。将nonce添加到JWT的payload中，并在服务器端验证nonce是否已经使用过。