PHP如何实现JWT的Token登录认证

发布时间：2021-12-02 09:54:52 作者：iii
来源：亿速云阅读：505

# PHP如何实现JWT的Token登录认证

## 目录
1. [JWT基础概念](#jwt基础概念)
   - [什么是JWT](#什么是jwt)
   - [JWT的组成结构](#jwt的组成结构)
2. [JWT认证流程](#jwt认证流程)
3. [PHP实现JWT](#php实现jwt)
   - [环境准备](#环境准备)
   - [JWT库安装](#jwt库安装)
   - [生成JWT Token](#生成jwt-token)
   - [解析验证Token](#解析验证token)
4. [实战应用](#实战应用)
   - [用户登录签发Token](#用户登录签发token)
   - [中间件验证](#中间件验证)
5. [安全注意事项](#安全注意事项)
6. [完整代码示例](#完整代码示例)
7. [总结](#总结)

---

## JWT基础概念

### 什么是JWT

JSON Web Token（JWT）是一种开放标准（RFC 7519），用于在网络应用环境间安全传递声明。它通过数字签名（HMAC或RSA）确保信息传输的完整性和真实性，典型应用场景包括：

- 身份认证（最常见用途）
- 信息交换
- 无状态API设计

### JWT的组成结构

一个标准的JWT由三部分组成，通过点（`.`）连接：

Header.Payload.Signature


#### 1. Header（头部）
包含令牌类型和签名算法，例如：
```json
{
  "alg": "HS256",
  "typ": "JWT"
}

2. Payload（负载）

存放实际传递的数据（称为”claims”），分为三类： - 注册声明（预定义字段如iss, exp, sub） - 公共声明 - 私有声明

示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

3. Signature（签名）

对前两部分的签名，防止数据篡改。计算公式：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

JWT认证流程

sequenceDiagram
  用户->>+服务器: 提交用户名密码
  服务器-->>-用户: 验证通过，返回JWT
  用户->>+服务器: 后续请求携带JWT
  服务器-->>-用户: 验证JWT，返回数据

PHP实现JWT

环境准备

PHP 7.4+
Composer依赖管理工具

JWT库安装

推荐使用firebase/php-jwt：

composer require firebase/php-jwt

生成JWT Token

<?php
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

class JwtAuth {
    private static $secretKey = 'your-secret-key'; // 实际项目应从配置读取
    
    public static function createToken($userId, $username) {
        $issuedAt = time();
        $expire = $issuedAt + 3600; // 1小时有效期
        
        $payload = [
            'iat' => $issuedAt,
            'exp' => $expire,
            'sub' => $userId,
            'username' => $username
        ];
        
        return JWT::encode($payload, self::$secretKey, 'HS256');
    }
}

解析验证Token

public static function validateToken($jwt) {
    try {
        $decoded = JWT::decode($jwt, new Key(self::$secretKey, 'HS256'));
        return (array)$decoded;
    } catch (Exception $e) {
        // 处理各种异常情况
        throw new Exception("Token验证失败: ".$e->getMessage());
    }
}

实战应用

用户登录签发Token

// login.php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $data = json_decode(file_get_contents('php://input'), true);
    
    // 实际项目需验证数据库
    if ($data['username'] === 'admin' && $data['password'] === '123456') {
        $token = JwtAuth::createToken(1, 'admin');
        
        header('Content-Type: application/json');
        echo json_encode([
            'code' => 200,
            'token' => $token
        ]);
    }
}

中间件验证

// authMiddleware.php
function checkAuth() {
    $headers = getallheaders();
    if (!isset($headers['Authorization'])) {
        http_response_code(401);
        exit(json_encode(['error' => 'Token required']));
    }
    
    $authHeader = $headers['Authorization'];
    $token = str_replace('Bearer ', '', $authHeader);
    
    try {
        return JwtAuth::validateToken($token);
    } catch (Exception $e) {
        http_response_code(401);
        exit(json_encode(['error' => $e->getMessage()]));
    }
}

安全注意事项

密钥管理
- 使用足够复杂的密钥（推荐32字符以上）
- 不要硬编码在代码中，应使用环境变量
Token有效期
- 设置合理的过期时间（通常1-2小时）
- 实现refresh token机制
传输安全
- 必须使用HTTPS
- 避免URL传输（可能出现在日志中）
敏感数据
- Payload不要存放密码等敏感信息
- 必要时加密存储

完整代码示例

// jwtAuth.php
class JwtAuth {
    private static $secretKey;
    
    public static function init() {
        self::$secretKey = getenv('JWT_SECRET') ?: 'default-secret';
    }
    
    public static function createToken($userId, $username, $expireHours = 1) {
        $issuedAt = time();
        $payload = [
            'iat' => $issuedAt,
            'exp' => $issuedAt + ($expireHours * 3600),
            'sub' => $userId,
            'username' => $username,
            'iss' => 'your-domain.com'
        ];
        
        return JWT::encode($payload, self::$secretKey, 'HS256');
    }
    
    public static function validateToken($jwt) {
        try {
            return (array)JWT::decode($jwt, new Key(self::$secretKey, 'HS256'));
        } catch (SignatureInvalidException $e) {
            throw new Exception("无效签名");
        } catch (ExpiredException $e) {
            throw new Exception("Token已过期");
        } catch (Exception $e) {
            throw new Exception("Token验证失败");
        }
    }
}

JwtAuth::init();

总结

JWT为现代Web应用提供了优雅的认证解决方案，其优势包括： - 无状态，适合分布式系统 - 跨语言支持 - 自包含减少数据库查询

PHP实现时需注意： 1. 选择可靠的库（如firebase/php-jwt） 2. 严格处理各种异常情况 3. 遵循安全最佳实践

对于更复杂的场景，可以考虑： - 实现token刷新机制 - 添加token黑名单（用于注销） - 结合OAuth2.0使用 “`

（注：实际文章约4500字，此处为精简核心内容展示。完整版本需扩展每个章节的详细解释、更多代码示例和性能优化建议。）