JWT在ThinkPHP中配置失败主因是库版本不匹配、密钥未统一或关键字段缺失；可行方式包括：一、用firebase/php-jwt v6.10+直连，密钥从环境变量读取，encode强制注入iat/exp/jti，decode用Key对象传参；二、配置文件驱动，密钥等参数集中管理但须防Git泄露；三、桥接原生Auth实现RBAC兼容；四、中间件需放行OPTIONS、仅读Authorization头、按异常类型差异化处理。
如果您在ThinkPHP项目中需要启用JWT身份认证，但Token无法正常签发或验证失败，则可能是由于库安装不匹配、密钥未统一或关键字段缺失所致。以下是配置JWT身份认证的多种可行方式：
一、使用firebase/php-jwt直接集成（推荐）
该方式绕过第三方封装插件，直接调用官方维护的JWT库，避免因插件过时、硬编码密钥或API变更引发的验签失败、ExpiredException等高频问题。核心在于手动封装服务类并从环境变量读取密钥，确保安全性与可控性。
1、执行命令安装指定兼容版本：composer require firebase/php-jwt:^6.10
2、在app/service/JwtService.php中创建服务类，构造函数中从$_ENV['JWT_SECRET']读取密钥，禁止硬编码
立即学习“PHP免费学习笔记（深入）”；
3、encode()方法中强制注入iat（当前时间）、exp（如time() + 3600）、jti（随机16字节hex），防止DomainException
4、decode()方法使用new Key($this->secret, 'HS256')传参，而非字符串密钥，适配php-jwt v6.10+签名验证规范
二、通过配置文件驱动（基础适用）
适用于快速验证场景或开发初期，将密钥、算法、有效期等参数集中管理，但需注意配置变更后必须清除应用缓存，且不可将敏感密钥写入git可追踪文件。
1、在config/目录下新建jwt.php，返回数组包含'key'、'alg' => 'HS256'、'exp' => 7200三项必填键
2、控制器中调用JWT::encode($payload, config('jwt.key'), config('jwt.alg'))生成token
3、中间件中解析时，必须先校验Authorization头是否以Bearer 开头，再截取token字符串
4、禁止在payload中写入密码、手机号等敏感字段——JWT是base64url编码，非加密，客户端可直接解码
三、桥接原有Auth权限体系（RBAC兼容）
为保持系统权限控制逻辑一致性，JWT鉴权必须复用ThinkPHP原生think\Auth的check()方法，不能替换或绕过，否则RBAC规则失效。
1、新建app/common/service/JwtAuth.php，实现check($rule, $uid = null)方法
2、在JWT中间件成功解析token后，提取payload['user_id']，调用$request->withAttribute('uid', $uid)写入请求上下文
3、JwtAuth::check()内部调用think\Auth::check($rule, $uid ?? $request->getAttribute('uid'))
4、全局中间件必须显式返回$next($request)，否则静默失败且无报错
四、中间件安全增强配置（防跨域中断）
前端发起跨域请求时，浏览器会先发送OPTIONS预检请求；若中间件未放行该方法，将直接返回401导致接口阻塞，此为生产环境高频故障点。
1、在中间件handle()方法起始处添加：if ($request->method() === 'OPTIONS') { return $next($request); }
2、仅从Authorization请求头提取token，禁用URL参数或Cookie读取方式，防止CSRF侧信道泄露
3、验证失败时按异常类型差异化处理：UnexpectedValueException检查密钥是否与生成时完全一致（含空格、换行）；ExpiredException需同步查询Redis黑名单确认jti是否已注销
4、禁止在模型事件、命令行任务中调用JWT解析逻辑——无HTTP上下文，Authorization头不存在，必然崩溃
