Laravel 9 中使用 php-open-source-saver/jwt-auth 实现 JWT 认证时，调用 Auth::logout() 无法使 Token 失效，导致登出后仍能凭旧 Token 访问受保护接口——根本原因是未启用 Token 黑名单机制。
laravel 9 中使用 `php-open-source-saver/jwt-auth` 实现 jwt 认证时，调用 `auth::logout()` 无法使 token 失效，导致登出后仍能凭旧 token 访问受保护接口——根本原因是未启用 token 黑名单机制。
在 Laravel 9 中集成 php-open-source-saver/jwt-auth（原 tymon/jwt-auth 的现代维护分支）时，许多开发者会误以为 Auth::logout() 或 auth()->logout() 能像 Session 认证一样立即作废凭证。但 JWT 是无状态令牌，服务端默认不追踪已签发 Token 的生命周期；若不主动将其加入黑名单（Blacklist），该 Token 在过期前将持续有效。
✅ 正确注销：启用并调用黑名单机制
首先确保 config/jwt.php 中已启用黑名单（默认开启）：
// config/jwt.php
'blacklist_enabled' => env('JWT_BLACKLIST_ENABLED', true),
'blacklist_grace_period' => env('JWT_BLACKLIST_GRACE_PERIOD', 0), // 单位：秒⚠️ 注意：blacklist_grace_period 设为 0 表示 Token 一旦登出即刻失效；设为正数（如 60）则允许该 Token 在登出后最多再使用 60 秒（适用于高并发场景防重放，但非强注销需求）。
然后，在登出逻辑中显式调用带参数的 logout(true)：
// app/Http/Controllers/AuthController.php
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
public function logout(Request $request)
{
// ✅ 关键：传入 true 强制将当前 Token 加入黑名单（永久失效）
Auth::logout(true);
return response()->json([
'message' => 'Successfully logged out'
], 200);
}若使用 auth() 辅助函数，效果等价：
auth()->logout(true); // 推荐写法，语义更清晰
? 验证注销是否生效
注销后，再次携带原 Token 请求受保护接口（如 SubjectController@show）应返回：
HTTP/1.1 401 Unauthorized
{
"message": "Token has been blacklisted"
}而非继续返回数据——这表明黑名单中间件 jwt.auth 已正确拦截并校验 Token 状态。
? 补充说明与最佳实践
- 中间件依赖：确保路由使用 auth:api（它会自动加载 jwt.auth 中间件），且 jwt.auth 已注册于 app/Http/Kernel.php 的 $routeMiddleware 中（安装包时已自动配置）。
- 刷新 Token 场景：若应用支持 Token 刷新（refresh），注意 logout(true) 会同时使当前 Token 及其可能生成的刷新 Token 失效。
- 数据库表：黑名单依赖 jwt_blacklists 表（运行 php artisan jwt:table 并执行迁移后生成），请确认该表存在且可写。
- 无状态替代方案：如需更高性能或分布式环境支持，可考虑改用 Redis 存储黑名单（修改 config/jwt.php 中 storage 配置），但默认数据库驱动已满足绝大多数项目需求。
遵循以上步骤，即可彻底解决 Laravel 9 + JWT 登出后 Token 仍有效的安全问题，保障认证逻辑的严谨性与可靠性。
