JWT认证在Symfony中必须用LexikJWTAuthenticationBundle，因其封装了JWT框架并深度集成Security组件，提供开箱即用的签发、校验、刷新及黑名单管理功能，官方组件不支持。
JWT认证在Symfony中必须用LexikJWTAuthenticationBundle
不装这个Bundle，Symfony官方组件不提供开箱即用的JWT签发与校验逻辑。它封装了namshi/jose（旧版）或web-token/jwt-framework（v3+），并深度集成Security组件。别自己手写JWTTokenAuthenticator——签名验证、密钥加载、token刷新、黑名单管理这些细节极易出错。
安装后需生成密钥对：
mkdir -p config/jwt<br>openssl genpkey -out config/jwt/private.pem -aes256 -algorithm rsa -pkeyopt rsa_keygen_bits:4096<br>openssl pkey -in config/jwt/private.pem -pubout -out config/jwt/public.pem注意：生产环境务必用
openssl生成，别用base64伪造私钥；私钥密码若设了，得在lexik_jwt_authentication.private_key_path配置里加pass_phrase项。
security.yaml里必须禁用session且显式声明json_login
Symfony默认启用session，但JWT是无状态认证，session会干扰token解析流程，导致TokenNotFoundException或InvalidCredentialsException被吞掉。必须把stateless: true写进firewall配置，且不能依赖form_login。
典型错误配置：
firewalls:<br> api:<br> pattern: ^/api<br> stateless: true<br> json_login: ~ # ❌ 缺少provider和check_path
正确写法要点：
-
json_login必须指定check_path（如/api/login_check），且该路径要被access_control放行 -
provider必须指向一个UserProvider（如app_user_provider），不能留空 - 后续受保护路由用
jwtguard，不是json_login
用户实体必须实现UserInterface且支持JWT字段映射
LexikBundle默认从User对象读取getUsername()和getPassword()，但JWT payload常需额外字段（如roles、user_id）。若直接返回$user->getRoles()数组，会因序列化问题导致token签发失败。
解决方式：
- 在User类里加
public function getPayload(): array方法，手动返回要塞进token的键值对 - 或在
lexik_jwt_authentication.yaml中配置user_identity_field为email等唯一字段，避免调用getUsername() - 确保
getRoles()返回字符串数组（['ROLE_USER']），而非ArrayCollection或关联对象
常见报错：Could not create JWT token: Notice: Array to string conversion——基本就是getRoles()返回了非纯数组。
前端请求头必须带Bearer且token不能拼错
后端只认Authorization: Bearer <token></token>格式，漏掉Bearer前缀、多一个空格、用Basic或Token都会返回401 Unauthorized。调试时用curl -H "Authorization: Bearer ey..." http://localhost/api/profile最可靠。
容易忽略的点：
- token过期后，
RefreshToken需单独调用/api/token/refresh（需额外配置guard） - 若用CORS，
Access-Control-Allow-Headers必须包含Authorization - 开发时用
symfony server:start，别用PHP内置server——它不传递Authorization头
JWT本身不可撤销，真要登出，只能靠服务端维护一个Redis黑名单，或者缩短ttl时间到15分钟以内——这点常被当成“安全特性”忽略。
