JWT密钥配置错误会导致“Invalid signature”报错，安全方案包括：一、命令行自动生成密钥并写入.env和config/jwt.php；二、通过.env独立管理环境变量密钥；三、OpenSSL生成高强度密钥手动配置；四、密钥文件存于Web根目录外并设400权限；五、使用RSA非对称密钥对提升安全性。
如果您在ThinkPHP项目中启用JWT身份验证，但令牌签发失败或验证报错“Invalid signature”，则很可能是JWT密钥未正确配置或存在安全隐患。以下是安全配置JWT密钥的多种方法：
一、使用命令行自动生成密钥并写入配置文件
该方法通过官方JWT扩展内置命令生成高强度随机密钥，并自动注入到配置和环境变量中，避免手动输入弱密钥或硬编码风险。
1、执行JWT配置初始化命令：php think jwt:create
2、命令将自动生成config/jwt.php配置文件，并在.env中写入JWT_SECRET=xxxxxxxxxx字段
立即学习“PHP免费学习笔记（深入）”；
3、确认.env文件权限为600（仅所有者可读写），且未提交至Git仓库
4、在config/jwt.php中引用环境变量： 'SECRET_KEY' => env('JWT_SECRET', 'fallback-secret'),
二、通过环境变量独立管理密钥
该方式将密钥与代码完全解耦，支持不同环境（开发/测试/生产）使用不同密钥，符合安全最佳实践。
1、编辑项目根目录下的.env文件，添加密钥行：JWT_SECRET=U8vKxR2qL9mNpE5sY7tFjW4cB6dH1aZ3
2、确保.env文件不被版本控制：在.gitignore中加入.env和config/jwt.php
3、修改config/jwt.php，将密钥字段替换为环境变量调用：'SECRET_KEY' => env('JWT_SECRET', ''),
4、重启Web服务器或清除配置缓存：php think clear:config
三、使用OpenSSL生成高强度密钥并手动配置
适用于对密钥熵值有严格要求的生产环境，可生成32字节以上密钥以适配HS256/HS512算法。
1、在终端执行OpenSSL命令生成64字符密钥：openssl rand -base64 48 | tr -d '\n'
2、将输出结果复制为密钥值，例如：JfXzQbVnGpRtKwYmLcSdHeUoIaZxNvCqFgTjBkPlOmRsNuWy
3、将该密钥写入.env文件的JWT_SECRET字段
4、在config/jwt.php中设置算法与密钥长度匹配：'ALGO' => 'HS512', 'SECRET_KEY' => env('JWT_SECRET', ''),
四、分离密钥存储路径并限制文件权限
该方案将密钥单独存放于Web根目录外的受控路径，防止通过URL直接访问密钥文件。
1、在项目根目录上级创建密钥目录：mkdir -p /etc/thinkphp/secrets/
2、生成密钥并保存为独立文件：openssl rand -base64 32 > /etc/thinkphp/secrets/jwt.key
3、设置文件权限仅允许Web服务器用户读取：chmod 400 /etc/thinkphp/secrets/jwt.key
4、在config/jwt.php中读取密钥文件：'SECRET_KEY' => file_get_contents('/etc/thinkphp/secrets/jwt.key'),
五、使用RSA非对称密钥对替代对称密钥
适用于需跨服务分发公钥验证、且私钥必须严格保密的高安全场景，避免密钥在网络间传输。
1、生成RSA密钥对：openssl genrsa -out rsa_private_key.pem 2048
2、提取公钥：openssl rsa -in rsa_private_key.pem -pubout -out rsa_public_key.pem
3、将rsa_private_key.pem移至config/keys/目录并设权限为600
4、在config/jwt.php中配置：'ALGO' => 'RS256', 'PRIVATE_KEY' => config_path('keys/rsa_private_key.pem'), 'PUBLIC_KEY' => config_path('keys/rsa_public_key.pem'),
