Symfony 5 需通过 lexik/jwt-authentication-bundle 实现 JWT 认证，因其专为 Symfony 设计、深度集成 Security 组件；Tymon/jwt-auth 是 Laravel 专属，不可用于 Symfony。
Symfony 5 本身不内置 JWT 认证支持，必须手动集成第三方库或自建逻辑；直接用 lexik/jwt-authentication-bundle 是目前最稳定、文档最全的方案，别被“Tymon/JWTAuth”误导——那是 Laravel 专用的，不能用在 Symfony 里。
为什么不用 Tymon/jwt-auth
这个包是 Laravel 生态专属，硬塞进 Symfony 会报 Class 'Tymon\JWTAuth\Providers\LaravelServiceProvider' not found 或依赖冲突。Symfony 的服务容器、认证机制（GuardAuthenticatorInterface）、用户提供者（UserProviderInterface）和事件系统都和 Laravel 完全不同，强行移植等于重写一半。
正确路径只有一条：lexik/jwt-authentication-bundle，它专为 Symfony 设计，原生支持 Doctrine、Messenger、Cache，并与 Symfony Security 组件深度耦合。
安装与基础配置（Symfony 5.4+）
执行命令安装：
composer require lexik/jwt-authentication-bundle
Bundle 会自动注册（Symfony Flex），无需手动加到 config/bundles.php。接着生成密钥对：
mkdir -p config/jwtopenssl genpkey -out config/jwt/private.pem -aes256 -algorithm rsa -pkeyopt rsa_keygen_bits:4096openssl pkey -in config/jwt/private.pem -out config/jwt/public.pem -pubout
注意：密码保护私钥是可选的，但生产环境建议加；如果跳过密码，第二步去掉 -aes256 参数，否则后续解密会卡住。
在 config/packages/lexik_jwt_authentication.yaml 中确认路径正确：
lexik_jwt_authentication:
secret_key: '%kernel.project_dir%/config/jwt/private.pem'
public_key: '%kernel.project_dir%/config/jwt/public.pem'
pass_phrase: '%env(JWT_PASSPHRASE)%'
token_ttl: 3600JWT_PASSPHRASE 要写进 .env，例如：JWT_PASSPHRASE=your_strong_passphrase。
配置 Security 并启用 JWT Guard
关键点在于：JWT 不是独立认证方式，而是作为 Symfony Security 的一个 guard 实现。修改 config/packages/security.yaml：
security:
encoders:
App\Entity\User:
algorithm: auto
<pre class='brush:php;toolbar:false;'>providers:
app_user_provider:
entity:
class: App\Entity\User
property: email
firewalls:
dev:
pattern: ^/(_(profiler|wdt)|css|images|js)/
security: false
api:
pattern: ^/api
stateless: true
provider: app_user_provider
jwt: ~ # ← 这行启用 lexik bundle 的 guard
main:
anonymous: true</pre>这里必须设 stateless: true，否则 Session 机制会干扰 JWT 解析；jwt: ~ 表示使用默认配置，底层调用 Lexik\Bundle\JWTAuthenticationBundle\Security\Guard\JWTTokenAuthenticator。
常见错误现象：Invalid credentials 却没走登录逻辑 —— 很可能是 provider 没配对，或 User 实体没实现 getUserIdentifier()（Symfony 5.4+ 要求）。
登录接口返回 Token 的写法
不要手动生成 JWT 字符串。用 Bundle 提供的 JWTTokenManagerInterface：
use Lexik\Bundle\JWTAuthenticationBundle\Services\JWTTokenManagerInterface;
<p>class LoginController extends AbstractController
{
public function login(Request $request, JWTTokenManagerInterface $jwtManager, UserPasswordHasherInterface $passwordHasher): JsonResponse
{
$data = json_decode($request->getContent(), true);
$user = $this->getDoctrine()->getRepository(User::class)->findOneBy(['email' => $data['email']]);</p><pre class='brush:php;toolbar:false;'> if (!$user || !$passwordHasher->isPasswordValid($user, $data['password'])) {
return $this->json(['error' => 'Invalid credentials'], Response::HTTP_UNAUTHORIZED);
}
$token = $jwtManager->create($user); // ← 正确方式
return $this->json(['token' => $token]);
}}
注意：$jwtManager->create() 依赖 User 实现 getUserIdentifier() 返回唯一字段（如 email 或 id），否则抛 BadMethodCallException。
前端请求时，Header 必须带 Authorization: Bearer <token>；Bundle 默认从 Authorization 头读取，不支持 query 参数或 cookie。
真正容易被忽略的是错误响应格式 —— lexik/jwt-authentication-bundle 默认返回 HTML 错误页，API 场景下必须配置为 JSON。在 config/packages/lexik_jwt_authentication.yaml 加：
lexik_jwt_authentication:
# ...
throw_exceptions: true
# 然后在 controller 或全局 exception listener 中捕获 JWTDecodeFailureException 等并转成 JsonResponse 
