jwt是一種輕量級的無狀態身份驗證方案，適合前后端分離和分布式系統。1. jwt由header、payload、signature三部分組成，通過簽名機制保障安全性；2. 在php中可通過firebase/php-jwt庫生成jwt，使用jwt::encode方法編碼載荷數據；3. 驗證時客戶端將Token放在請求頭，服務端使用jwt::decode解析并處理異常；4. 實際開發需注意秘鑰管理、設置合理有效期、https傳輸、黑名單維護等安全細節。掌握這些步驟即可在php項目中實現安全穩定的jwt認證流程。
在構建現代Web應用時，API的身份驗證機制至關重要。JWT（json Web Token）作為一種輕量級的無狀態身份驗證方案，特別適合前后端分離和分布式系統。相比傳統的基于Session的認證方式，JWT不需要服務器端存儲用戶會話信息，從而更易擴展、更適合restful API的設計。
下面我們就來看看，在PHP中如何使用JWT來實現一個基本但實用的無狀態API身份驗證流程。
1. JWT是什么？為什么用它做API認證？
JWT是一種開放標準（RFC 7519），用于在網絡應用之間安全地傳輸信息。它由三部分組成：頭部（Header）、載荷（Payload）和簽名（Signature）。這三個部分通過點號連接，形成一個字符串，例如：
立即學習“PHP免費學習筆記（深入）”；
eyJhbGciOiJIUzI1NiisInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx
使用JWT做API認證的優勢包括：
- 無狀態：服務端無需保存會話信息，減輕服務器壓力。
- 可跨域使用：適用于多個子域名或不同服務間共享認證狀態。
- 安全性高：通過簽名機制防止篡改。
2. PHP中如何生成JWT？
要使用JWT，我們需要先安裝一個可靠的庫。目前最常用的PHP JWT庫是 firebase/php-jwt，可以通過composer安裝：
composer require firebase/php-jwt
然后，你可以使用如下代碼生成一個JWT：
use FirebaseJWTJWT; use FirebaseJWTKey; $key = "your-secret-key"; // 秘鑰，應妥善保管 $payload = [ 'iss' => 'http://example.com', // 簽發者 'aud' => 'http://example.org', // 接收方 'iat' => time(), // 簽發時間 'exp' => time() + 3600, // 過期時間 'data' => [ 'user_id' => 123, 'username' => 'john_doe' ] ]; $jwt = JWT::encode($payload, $key, 'HS256'); echo $jwt;
這個$jwt就是你返回給客戶端的token，通常放在響應頭或body中。
3. 如何驗證客戶端發送的JWT？
客戶端在后續請求中需要將JWT放在請求頭中，比如：
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxxx.xxxxxx
在PHP中解析并驗證這個token也很簡單：
use FirebaseJWTJWT; use FirebaseJWTKey; $headers = getallheaders(); if (!isset($headers['Authorization'])) { http_response_code(401); echo json_encode(['error' => 'Missing token']); exit; } list(, $token) = explode(' ', $headers['Authorization']); try { $key = "your-secret-key"; $decoded = JWT::decode($token, new Key($key, 'HS256')); // 解碼成功后可以獲取用戶信息 $userId = $decoded->data->user_id; } catch (Exception $e) { http_response_code(401); echo json_encode(['error' => 'Invalid token']); exit; }
在這個過程中，要注意以下幾點：
- 確保每次請求都攜帶了正確的token格式。
- 捕獲異常處理token過期、簽名錯誤等問題。
- 不要把敏感信息放在payload里，如密碼等。
4. 實際開發中的注意事項
雖然JWT很強大，但在實際使用中也有一些容易忽略的地方：
- 秘鑰管理：不要硬編碼在代碼中，建議從環境變量讀取。
- Token有效期控制：合理設置exp字段，避免長期有效的token帶來安全隱患。
- 刷新機制：如果需要支持token刷新，可以結合refresh token的方式。
- HTTPS傳輸：一定要使用HTTPS，否則token可能被竊取。
- 黑名單/吊銷機制：JWT本身不支持吊銷，如果需要提前失效，需額外維護黑名單。
基本上就這些。只要掌握好生成和驗證的基本流程，并注意安全細節，就能在PHP項目中輕松集成JWT認證。對于小型到中型項目來說，這套機制已經足夠靈活且穩定。
