JWT验证失败主因是签名密钥传参错误、时间校验严格、请求头提取漏洞及载荷字段不规范；需用Key对象传密钥、校准系统时间、正确获取Authorization头、确保sub/iat/exp字段完整且类型正确。
密钥传参方式错误（最常见）
PHP 8.5下JWT::decode()不再接受字符串密钥，必须用new Key($secret, 'HS256')对象传入。如果仍写成：
JWT::decode($token, $secret, ['HS256']) → 会静默失败或抛InvalidSignatureException
✅ 正确写法：
- 确保已
use Firebase\JWT\Key; - 解码时统一使用：
JWT::decode($token, new Key($secret, 'HS256')) - 密钥必须与签发时完全一致（注意空格、换行、base64解码后是否乱码）
时间校验因系统时钟偏差触发失败
PHP 8.5默认启用更严格的时钟偏移检查。若服务器时间比NTP源快/慢超过1分钟，exp或nbf验证就会失败。
立即学习“PHP免费学习笔记（深入）”；
✅ 排查方法：
- 运行
date和ntpdate -q pool.ntp.org对比时间差 - 临时加
$leeway = 60参数放宽容错：JWT::decode($token, new Key($secret, 'HS256'), [], 60) - 长期方案：配置
systemd-timesyncd或chrony自动同步
请求头提取逻辑有漏洞
Authorization头可能被Web服务器（如Nginx）过滤、大小写转换或截断，尤其在FastCGI或反向代理场景下。
✅ 必须检查：
- PHP中是否用
getallheaders()或$_SERVER['HTTP_AUTHORIZATION']？推荐用$_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] - Nginx需添加：
fastcgi_pass_request_headers on;和proxy_set_header Authorization $http_authorization; - 确认客户端发送的是
Authorization: Bearer xxx，不是authorization小写或漏掉Bearer前缀
载荷字段缺失或类型不匹配
ThinkPHP等框架调用toUser()时依赖sub字段查用户，但PHP 8.5对数组访问更严格。
✅ 签发时务必包含：
-
'sub' => (string)$userId（避免整型导致模型查询失败） -
'iat' => time()、'exp' => time() + 3600（缺任一都可能被拒绝） - 不要在payload里放
null值或未定义键，PHP 8.5会触发TypeError
