JWT多用户数据库离线校验在Laravel中通过本地数据库存储jti、user_id、expires_at、is_revoked等字段，结合自定义规则CheckJwtDbIntegrity或中间件EnsureValidJwtInDb实现签名+状态双重验证，并支持多用户类型动态适配。
JWT 多用户数据库离线校验在 Laravel 中，核心是：不依赖网络请求或远程服务，仅靠本地数据库 + JWT 载荷信息完成身份与权限的可信验证。关键在于防止 token 被盗用、用户状态变更（如禁用、角色调整）后 token 仍有效的问题。
数据库必须存储 JWT 关键字段
标准 JWT（如由 laravel/jetstream 或 tymon/jwt-auth 生成）默认不持久化 token 内容。为支持离线校验，需在用户表或独立 token 表中显式记录以下字段：
- jti（JWT ID）：唯一标识该 token，建议设为数据库主键或唯一索引
- user_id：关联用户，用于查询用户当前状态
-
expires_at：token 过期时间（
exp声明的秒级时间戳），用于比对是否过期 - is_revoked：布尔字段，标记 token 是否被主动注销（如登出、密码修改时置 true）
- issued_at（可选）：用于限制 token 最大生命周期（防长期有效）
自定义验证规则：CheckJwtDbIntegrity
创建一个 Laravel 自定义验证规则，实现「解析 JWT 后查库校验」逻辑，不调用任何中间件或外部服务：
运行 php artisan make:rule CheckJwtDbIntegrity，编辑规则类：
public function passes($attribute, $value)
{
try {
$payload = \Firebase\JWT\JWT::decode($value, config('jwt.secret'), ['HS256']);
// 检查 jti 是否存在且未被撤销
$tokenRecord = DB::table('jwt_tokens')
->where('jti', $payload->jti)
->where('user_id', $payload->sub) // sub 通常是 user_id
->where('is_revoked', false)
->where('expires_at', '>', now()->timestamp)
->first();
return $tokenRecord !== null;
} catch (\Exception $e) {
return false;
}
}
该规则可直接用于控制器请求验证：
$request->validate([
'token' => ['required', new CheckJwtDbIntegrity]
]);
配合中间件做自动校验（推荐）
不建议每次手动调用验证规则。更合理的方式是封装为中间件，在路由层统一拦截无效 token：
- 创建中间件
EnsureValidJwtInDb - 从
Authorization: Bearer xxx提取 token - 解码并提取
jti和sub，执行同上数据库查询 - 校验失败返回
401 Unauthorized，并附带原因（如"token revoked"或"user disabled"） - 校验通过后，可将
$payload注入 request 属性供后续使用：$request->attributes->set('jwt_payload', $payload)
多用户类型适配（如 admin / member / api_client）
若系统含多种用户模型（App\Models\Admin、App\Models\Member），需扩展校验逻辑：
- 在 token 签发时写入
type声明（如"type": "admin"） - 数据库 token 表增加
user_type字段（如'admin'、'member'） - 校验时追加条件：
->where('user_type', $payload->type) - 对应查询用户时，动态选择模型：
app()->make($payload->type . 'Model')::find($payload->sub)
这样可复用同一套 token 校验机制，无需为每类用户建独立中间件。
离线校验的本质是把「信任链」从纯签名验证，延伸到「签名 + 数据库状态一致性」。只要数据库字段设计合理、索引到位（尤其 jti 和 (user_id, is_revoked) 联合索引），性能影响极小，安全性显著提升。
