php jwt新手怎么学？这篇文章带你快速入门！

发布日期： 2025-09-30 阅读量： 作者： admin

最近在弄一个前后端分离的项目，用户登录认证这块儿搞得有点头大。之前用过 session，但感觉在 API 场景下不太方便。后来听说了 JWT 这玩意儿，说是挺适合这种场景的，就决定动手试试看。

找轮子阶段

PHP 处理 JWT，肯定有现成的库可以用。我就去网上搜了搜，发现有好几个，看来看去，觉得那个叫 `firebase/php-jwt` 的好像用的人挺多，评价也不错，看着也挺简单的。行，就它了。

装这个库倒是不麻烦，现在都用 Composer 了嘛直接在项目根目录敲了个命令：

composer require firebase/php-jwt

等它跑完，库就下到 `vendor` 目录里了，挺顺利。

装完库，总得知道这 JWT 是个啥。简单看了下，，原来就是一串用点号隔开的字符串，分三部分：头部、载荷、签名。头部说明基本信息，比如用啥算法加密的。载荷就是我想放进去的数据，比如用户 ID、用户名啥的，但注意别放敏感信息，因为这部分只是编码，不是加密。那个签名是用来验证这串东西没被瞎改过的。

理解了大概，就开始写代码了。第一步是用户登录成功后，得给他生成一个 Token 返回去。

整一个密钥： JWT 需要一个密钥（secret key）来生成签名和验证签名。这个密钥得藏好了，不能泄露。我就先随便写了一个长点的字符串，放在配置文件里了，以后再考虑放环境变量啥的。
准备载荷数据： 用户名密码验证通过后，我就把用户的 ID、用户名这些信息准备放进一个数组里。还顺便加了个过期时间 `exp`，比如设置成 1 小时后过期。
调用库生成： 然后就用 `firebase/php-jwt` 库提供的 `encode` 方法。把刚才准备的载荷数据、我的密钥、还有指定的加密算法（我用的 HS256）传进去，它就给我返回了一长串的 Token 字符串。
发给前端： 把这个 Token 字符串通过接口返回给前端，让他们存起来，比如放 local storage 里。

用户拿到 Token 后，以后每次请求需要认证的接口，就得带着这个 Token 过来。一般是放在请求头 `Authorization` 里面，格式像 `Bearer *` 这样。

服务器这边就好办了：

接收 Token： 从请求头里把 `Bearer ` 后面的那串 Token 拿出来。
调用库验证： 用库的 `decode` 方法。把拿到的 Token、之前用的那个密钥、还有指定的算法传进去。
处理结果：
- 如果 Token 有效（签名对得上、没过期），`decode` 方法就会返回之前我放进去的那个载荷数据（包含用户 ID 的那个数组）。这样我就知道是哪个用户在操作了。
- 如果 Token 有问题（被人改过、过期了、密钥不对），`decode` 方法会抛出异常。我就用 `try...catch` 包起来，抓住异常，然后告诉前端“你这个 Token 不行，重新登录去”。

实践中还遇到些小问题。比如一开始忘了设置过期时间，后来加上了 `exp` 字段就好多了。还有就是密钥一定要保管绝对不能硬编码在代码里或者传到版本库里去。整个通信过程必须用 HTTPS，不然 Token 在传输过程中就可能被截获，那密钥再安全也没用了。

用 PHP 实现 JWT 认证这套流程跑下来，感觉还挺顺畅的。有了现成的库，大部分复杂的签名、验证工作都不用自己操心。只要理解了基本原理，知道怎么生成、怎么验证，再注意下安全细节，基本上就能跑起来了。现在 API 的认证都用这个了，感觉比以前用 session 清爽多了。