不会直接报TypeError，但firebase/php-jwt v6.x不支持PHP 8.5（最高兼容8.3），需升级到v7.x（支持PHP 8.4+）；确认真实PHP版本用php -v，安装命令为composer require firebase/php-jwt:^7.0。
PHP 8.5 下用 firebase/php-jwt 生成 token 会报 TypeError 吗？
不会直接报错，但默认安装的 firebase/php-jwt v6.x 不支持 PHP 8.5 —— 它的最高兼容 PHP 版本是 8.3。v7.x 才正式支持 PHP 8.4+，而 PHP 8.5 是 2025 年 12 月才发布的（当前为预发布/RC 阶段），所以你实际用的很可能是 PHP 8.4 或误标版本。确认真实 PHP 版本用 php -v，别信环境文档里的“8.5”。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 运行
composer require firebase/php-jwt:^7.0，v7 起要求 PHP >=8.1，且明确声明支持 8.4+ - 若 composer 报
Your requirements could not be resolved，说明锁定了旧版依赖，删掉composer.lock和vendor/后重装 - v6 的
JWT::encode()在 PHP 8.4+ 里可能触发Deprecated: Passing null to parameter类警告（因内部用了过时的可空类型写法），v7 已修复
JWT::encode() 的三个参数怎么填才不踩坑？
JWT::encode() 看似简单，但第二、三参数最容易出错：密钥类型和算法必须严格匹配，否则验证时解不开或抛 DomainException。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 第一参数（payload）必须是
array，不能是stdClass对象，否则 v7 会静默转成空对象 - 第二参数（key）：如果是字符串密钥（HS256），直接传
'my-secret'；如果是 RSA 私钥，必须是 PEM 格式字符串，且以"-----BEGIN PRIVATE KEY-----"开头，不能是文件路径 - 第三参数（algorithm）：常用
'HS256'，但注意大小写敏感；若用'hs256'，v7 会抛InvalidArgumentException - 示例安全写法：
$payload = ['user_id' => 123, 'exp' => time() + 3600]; $token = JWT::encode($payload, 'my-secret', 'HS256');
验证 token 时 JWT::decode() 报 SignatureInvalidException 怎么快速定位？
这个异常 90% 是签名不匹配，而不是 token 过期或格式错误。v7 默认开启严格校验，连空格、换行、base64 padding 都会影响结果。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 先用
JWT::getPayload($token)（不验签）看能否解析出 payload，能说明 token 格式正确，问题在签名环节 - 检查验证时用的 key 是否和生成时**完全一致**：字符串前后有无空格？是否误用了公钥当私钥？RSA 场景下，
decode()必须用公钥（PEM 格式），且开头是"-----BEGIN PUBLIC KEY-----" - 算法必须和生成时一致：
JWT::decode($token, $key, ['HS256'])—— 第三参数是数组，不是字符串，漏掉方括号会报错 - 如果 token 来自前端 HTTP Header，注意
Bearer xxx中的xxx是否被截断或含 URL 编码字符（如+被当成空格）
PHP 8.5（或 8.4）环境下 JWT 时间相关字段要注意什么？
exp、nbf、iat 这些时间戳字段在 PHP 8.4+ 里对整数精度更敏感，尤其当系统时区设为非 UTC 时，time() 返回值虽仍是 int，但某些扩展（如 ext/date）在纳秒级处理上行为微变，可能导致 exp 被提前判定为过期。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 一律用
time()（返回 int），不要用new DateTime()->getTimestamp()，后者在某些时区配置下可能返回 float - 验证前手动加宽容：比如设置
'leeway' => 1（单位秒），避免因服务器间毫秒级时间差导致误判 - 示例：
$key = 'my-secret'; $jwt = JWT::decode($token, $key, ['HS256']); // 若需宽容，改用： $decoded = JWT::decode($token, $key, ['HS256'], null, ['leeway' => 1]);
- 生产环境务必确保所有服务器 NTP 同步，PHP 8.4+ 对时间偏差更零容忍
最常被忽略的是：v7 的 JWT::decode() 默认不再自动处理 Authorization: Bearer xxx 头，它只认纯 token 字符串。如果你从 header 取值后没 trim() 或去掉了换行符，就会在 base64 解码阶段失败，但错误信息还是显示 SignatureInvalidException —— 实际是前置解析就崩了。
