使用Firebase JWT库可快速实现PHP中的JWT身份验证，通过Composer安装后生成包含用户信息的Token并返回客户端；接收时解析Token验证签名与有效期，确保安全性；也可手动解析JWT三部分进行基础验证；在Laravel或Slim等框架中结合中间件统一拦截请求，校验Bearer Token，保障路由安全。
如果您在开发PHP应用程序时需要实现安全的身份验证机制，JWT（JSON Web Token）是一种轻量级且广泛采用的方案。它能够在客户端与服务器之间安全地传输用户身份信息。以下是几种在PHP中实现JWT身份验证的方法：
一、使用Firebase JWT库生成和验证Token
通过引入广泛使用的第三方库firebase/php-jwt，可以快速实现JWT的编码与解码功能。该库基于PSR标准，易于集成到现有项目中。
1、使用Composer安装Firebase JWT库：composer require firebase/php-jwt。
2、在PHP文件中引入自动加载文件和JWT类：require_once 'vendor/autoload.php'; use \Firebase\JWT\JWT; use \Firebase\JWT\Key;。
立即学习“PHP免费学习笔记（深入）”；
3、设置密钥和算法，生成Token：$key = "your_secret_key"; $issuedAt = time(); $expirationTime = $issuedAt + 3600; $payload = array("iss" => "http://example.org", "aud" => "http://example.com", "iat" => $issuedAt, "exp" => $expirationTime, "data" => array("userId" => 123)); $token = JWT::encode($payload, $key, 'HS256');。
4、将生成的Token返回给客户端，通常放在响应头或JSON数据中。
5、接收并验证Token时，使用JWT::decode方法：$decoded = JWT::decode($token, new Key($key, 'HS256'));，若成功则可访问其数据。
二、手动实现JWT的解析逻辑
了解JWT结构后，可手动拆分Header、Payload和Signature三部分进行基础解析，适用于学习原理或特殊定制需求。
1、获取完整的JWT字符串，按“.”分割成三部分：$parts = explode('.', $jwt);。
2、对第二部分（Payload）进行Base64Url解码：$payloadJson = base64_decode(str_replace(['-', '_'], ['+', '/'], $parts[1])); $payload = json_decode($payloadJson, true);。
3、检查过期时间字段exp是否大于当前时间戳，否则拒绝访问。
4、重新计算签名以验证完整性：将Header和Payload再次组合，并用相同密钥生成签名，比对是否一致。
三、结合框架实现中间件身份验证
在现代PHP框架如Laravel或Slim中，可通过中间件统一处理JWT验证流程，确保每个受保护路由都经过认证。
1、创建一个中间件类，在请求进入前拦截Authorization头中的Bearer Token。
2、提取Token值：$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? ''; $token = str_replace('Bearer ', '', $authHeader);。
3、调用JWT解码函数验证Token有效性，捕获异常如签名不匹配或已过期。
4、将解码后的用户信息附加到请求对象中，供后续控制器使用。
5、若验证失败，立即终止请求并返回401状态码。
