PHP-JWT生成token时exp非必须但生产环境必须设置，iat可选但验证端启用leeway时需提供；encode需显式传allowedAlgs数组，decode需捕获DomainException并调用getMessage()查具体错误。
PHP-JWT 生成 token 时必须设置 iat 和 exp 吗？
不是必须，但不设 exp 就等于永久有效，生产环境绝对不能这么干；iat 虽然可选，但验证端若启用了 leeway 或做签发时间校验（比如防重放），没它会直接报 Invalid issued at claim (iat) 错误。
实际生成建议始终带上：
-
iat设为time()，表示签发时间 -
exp设为time() + 3600（1小时有效期），别用固定时间戳，避免时区或系统时间偏差导致秒级失效 - 如果后端统一用 UTC 时间校验，确保 PHP 的
date_default_timezone_set('UTC')已调用
用 JWT::encode() 生成 token 报 DomainException: Algorithm not allowed
这是最常踩的坑：新版 firebase/php-jwt（v6.0+）默认只允许 HS256、HS384、HS512 等对称算法，且必须显式传入白名单数组，否则直接抛异常。
正确写法：
立即学习“PHP免费学习笔记（深入）”；
$key = 'your-secret-key'; $payload = ['user_id' => 123, 'iat' => time(), 'exp' => time() + 3600]; $token = JWT::encode($payload, $key, 'HS256', null, ['HS256']); // 第5个参数是 $allowedAlgs
注意：null 是第四个参数（$keyId），别漏掉占位；若用 RSA 私钥，第5个参数得写 ['RS256']，且第二个参数要传 openssl_pkey_get_private(...) 资源，不是字符串。
基于三引擎设计，从微信文章、新闻和博客网页提取干净内容，支持标题作者日期元数据，多格式和批量处理。
JWT::decode() 验证失败却没报具体错误？
默认情况下 JWT::decode() 只抛通用 DomainException，错误信息被吞了。想看到真实原因（比如 Expired token、Signature verification failed），必须捕获异常并调用 getMessage()：
try {
$decoded = JWT::decode($token, $key, ['HS256']);
} catch (DomainException $e) {
error_log('JWT decode error: ' . $e->getMessage()); // 打印出来才能定位
}
常见验证失败原因：
- 密钥不一致（开发/测试/生产环境 key 写错或未同步）
- token 被前端截断（比如 URL 中含
.以外的特殊字符，被代理或日志系统转义） - 时钟不同步：服务器时间比 NTP 快 >1 分钟，
exp就提前失效 - 传了空字符串或
null当$token，decode 不报错但返回空对象
如何安全地从 HTTP Header 提取 token 并去掉 Bearer 前缀？
不要用 str_replace('Bearer ', '', $header) —— 如果 token 本身含 Bearer （极小概率但可能），会被误删。标准做法是用 substr() 切固定长度：
$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (strpos($authHeader, 'Bearer ') === 0) {
$token = substr($authHeader, 7); // 'Bearer ' 长度是 7
} else {
throw new InvalidArgumentException('Invalid Authorization header');
}
还要注意：
- Apache 下
HTTP_AUTHORIZATION可能不可见，需在.htaccess加RewriteRule ^(.*)$ - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}] - Nginx 需配置
proxy_set_header Authorization $http_authorization; - 别把
$token直接拼进 SQL 或日志——它可能含恶意 payload，至少做base64_decode()前先检查长度和格式
JWT 的 header.payload.signature 三段都用 base64url 编码，但 PHP 的 base64_decode() 默认不兼容 url-safe 变体，要用 JWT::urlsafeB64Decode() 或手动替换 - 和 _。
