PHP 8.5需结合firebase/php-jwt、数据库及设备指纹实现JWT多设备登录管理：用唯一jti+User-Agent/IP/前端ID组合生成设备指纹，refresh_token须bcrypt哈希入库并滚动刷新，通过查库实现会话查询与单端踢出。
PHP 8.5 本身不直接提供 JWT 多设备登录管理功能，它需要你基于标准库（如 firebase/php-jwt）+ 业务逻辑 + 数据库存储 + 设备识别机制来实现。关键不是“PHP 版本配置”，而是架构设计是否支持同一用户在手机、平板、PC 等多个设备上长期、独立、可管控地保持登录状态。
核心：用 jti + 设备指纹做唯一会话标识
JWT 的 jti（JWT ID）字段必须为每个新签发的 token 生成**全局唯一字符串**（如 bin2hex(random_bytes(16))），不能复用。同时，在签发时主动采集并存入 payload 的设备指纹，建议组合以下至少两项：
-
User-Agent 字符串哈希值（如
md5(substr($_SERVER['HTTP_USER_AGENT'] ?? '', 0, 200))） -
客户端 IP 地址前两段（如
implode('.', array_slice(explode('.', $_SERVER['REMOTE_ADDR']), 0, 2))，兼顾 NAT 场景） - 前端传入的轻量设备 ID（如小程序 openId、APP 的 UUID、H5 的 localStorage 生成 ID）
这样，jti + 设备指纹共同构成一条“有效会话记录”，用于后续查询、踢出、统计。
refresh_token 必须落库且滚动刷新
access_token 绝对不入库；但 refresh_token 是控制多端登录生命周期的关键，必须安全持久化：
立即学习“PHP免费学习笔记（深入）”；
- 字段至少含：
token_hash（bcrypt 哈希，永不存明文）、user_id、jti、device_fingerprint、expires_at、revoked_at、created_at - 每次调用 refresh 接口时：先校验原 refresh_token 哈希 → 立即设其
revoked_at→ 生成新jti和新设备指纹 → 插入新记录 - 务必用
PDO::beginTransaction()或DB::transaction()包裹这三步，防止并发重复使用
登录态查询与单端踢出实现方式
当需要查看用户当前登录设备或主动踢出某一台时，不依赖 token 解析，而是查数据库：
- 查活跃会话：SELECT * FROM refresh_tokens WHERE user_id = ? AND revoked_at IS NULL AND expires_at > NOW()
- 踢出指定设备：UPDATE refresh_tokens SET revoked_at = NOW() WHERE user_id = ? AND device_fingerprint = ? AND revoked_at IS NULL
- 全端下线：UPDATE refresh_tokens SET revoked_at = NOW() WHERE user_id = ? AND revoked_at IS NULL
注意：前端发起请求时若携带已被 revoke 的 refresh_token，验证失败后应清空本地存储并跳转登录页。
PHP 8.5 环境下的实操提醒
firebase/php-jwt v7.x 已正式支持 PHP 8.5，无需降级。但需确认：
- 安装命令为：
composer require firebase/php-jwt:^7.0 - 密钥读取必须 trim()，避免 .env 文件换行符污染：
$secret = trim($_ENV['JWT_SECRET'] ?? ''); - 签名/验签必须显式传
new Key($secret, 'HS256')，不再接受字符串密钥参数 - Web 服务器仍需透传 Authorization 头：Nginx 加
proxy_set_header Authorization $http_authorization;，Apache 启用mod_headers并配RequestHeader set Authorization "%{HTTP:Authorization}e"
