PHP 8.5 无内置 JWT 黑名单机制，需通过服务端生成 jti + Redis 缓存实现主动失效：签发时强制嵌入唯一 jti，验证前先查 Redis 黑名单键 jwt:blacklist:{jti}，登出/改密时用 SETEX 原子写入并设合理 TTL。
PHP 8.5 本身不内置 JWT 黑名单机制，它依赖外部组件协同实现——核心是「服务端主动控制 token 失效」，而 JWT 原生无状态特性决定了必须靠 jti（唯一令牌标识）+ Redis 缓存来落地。配置关键不在 PHP 版本，而在逻辑闭环：签发时埋 jti、验证前查黑名单、登出/改密时写入失效标记。
1. 确保 JWT 签发带唯一 jti
生成 token 时必须由服务端生成不可预测的 jti，不能由前端传入：
- 使用
bin2hex(random_bytes(16))或uniqid(true)生成强随机 jti - payload 中显式包含
'jti' => $jti，并确保iss、aud、exp等标准字段齐全 - 签名算法推荐 HS256（开发）或 RS256（生产），密钥绝不硬编码，从环境变量读取
2. 验证流程中前置黑名单检查
每次调用 JWT::decode() 前，必须先查 Redis 是否已标记该 jti 失效：
- 从 header 提取 token 后，先解码 header 和 payload（不验签），取出
$payload->jti - 执行
Redis::exists('jwt:blacklist:' . $payload->jti)，命中则直接抛出HttpException(401) - 仅当未命中黑名单，才进行完整签名验证；避免无效 token 消耗 CPU
3. 登出与敏感操作触发写入黑名单
用户登出、密码修改、强制下线等场景，需原子化写入 Redis：
立即学习“PHP免费学习笔记（深入）”；
- 用
Redis::setex('jwt:blacklist:' . $jti, $ttl, '1')设置过期时间，$ttl应 ≥ 原 token 剩余有效期 + 缓冲（如 +300 秒） - 避免用
DEL后再SET，防止竞态；优先用SETEX单命令保障原子性 - 若原 token 已过期，黑名单可设为短时效（如 60 秒），减少 Redis 内存占用
4. Redis 连接与异常兜底
PHP 8.5 支持更严格的类型和错误处理，配置需适配：
- 使用
predis/predis（推荐）或phpredis扩展，连接失败应抛异常而非静默降级 - 在黑名单校验环节加 try-catch，Redis 不可用时可降级为仅校验 exp 和签名（需业务接受短暂失效延迟）
- Redis key 命名统一加前缀（如
jwt:blacklist:），便于监控和清理
