PHP怎样使用JWT认证_使用JWT进行用户认证【认证】

jwt签名验证失败主因是signature未转标准base64：需strtr()+rtrim()预处理；私钥须pem格式且无密码；算法须严格匹配rs256/hs256；exp校验需统一utc时区并允许30秒误差。

JWT签名验证失败：openssl_verify() 返回 0 怎么办

php 原生 JWT 验证失败，大概率不是算法写错，而是密钥格式或签名编码没对齐。JWT 的 signature 是 Base64Url 编码（非标准 Base64），而 openssl_verify() 要求原始二进制签名；直接传入 JWT 中的 signature 段必然失败。

• 拆出 JWT 的三段后，用 strtr() 和 rtrim() 把 signature 段转成标准 Base64 再 base64_decode()，才能喂给 openssl_verify()
• 私钥必须是 PEM 格式（以 -----BEGIN private KEY----- 开头），且不能被密码保护；否则 openssl_pkey_get_private() 返回 false
• 算法必须严格匹配：HS256 用 hash_hmac()，RS256 必须用 openssl_verify() + PEM 公钥，混用会静默失败

用 firebase/php-jwt 解析时抛 DomainException: Wrong number of segments

这个错误只说明输入字符串根本不是合法 JWT 格式——三段（header.payload.signature）缺一不可，且必须用英文点号 . 分隔。常见于前端没传全、中间件截断、或者误把 Token 存在 query 参数里被 URL 编码破坏。

• 检查原始字符串是否含空格、换行或中文标点；trim() 和 urldecode() 是前置必需操作
• 如果从 Authorization Header 取值，注意格式是 Bearer <token></token>，得先 explode(' ', $header)[1] 提取，别直接整个丢进去
• 该库不自动处理 Base64Url → Base64 转换，但最新版（v6+）已内置修复；若用老版本，需手动预处理 signature 段

为什么 exp 字段校验总过期？时间戳对不上

JWT 的 exp 是 unix 时间戳（秒级整数），而 PHP 的 time() 是秒级，看似没问题，但实际常因服务器时区、NTP 同步偏差、或客户端本地时间伪造导致校验失败。

• 服务端务必用 date_default_timezone_set('UTC') 统一时区，避免 strtotime() 解析出错
• 不要依赖客户端传来的 iat 或 nbf 做逻辑判断；它们可被篡改，仅 exp 由服务端签名保障可信
• 生产环境建议加个宽松窗口，比如允许最多 30 秒误差：$payload['exp'] > time() - 30，而不是严格大于

JWT 存在 cookie 还是 localStorage？PHP 后端要怎么设

存哪不归 PHP 管，但 PHP 输出响应时若要设 Cookie，必须明确 HttpOnly 和 Secure 标志，否则 token 泄露风险极高。

立即学习“PHP免费学习笔记（深入）”；

• 用 setcookie() 时，第 7 个参数 $options 数组里必须含 'httponly' => true, 'secure' => true, 'samesite' => 'Strict'
• 别用 $_SESSION 存 JWT——它本质是服务端状态，违背 JWT 无状态设计初衷；JWT 就该由前端携带、后端纯验证
• 如果走 Cookie 方案，前端 fetch 要加 credentials: 'include'，否则浏览器不发 Cookie

真正麻烦的从来不是生成 token，而是密钥轮换、黑名单撤销、以及签名密钥在多台服务器间的一致性同步——这些没法靠一个 JWT::encode() 解决。