PHP游戏网站用JWT实现登录鉴权，核心是生成带签名Token（含uid、role、exp），请求时Header携带，服务端验证签名与时效性，无需查库即可识别身份权限；需HTTPS传输、httpOnly Cookie存储、校验iat防重放，敏感信息不入载荷。
PHP游戏网站用JWT实现登录鉴权，核心是：用户登录后生成带签名的Token（含用户ID、角色、过期时间等），后续请求在Header中携带该Token，服务端验证签名和时效性，无需查库即可识别身份和权限。
登录接口生成JWT Token
用户账号密码校验通过后，用PHP JWT库（如firebase/php-jwt）生成Token：
- 载荷（payload）至少包含uid（用户唯一ID）、role（如"player"或"admin"）、exp（建议15–60分钟，游戏场景不宜过长）
- 密钥（secret）必须安全存储（如环境变量），不可硬编码；生产环境建议用RSA非对称加密提升安全性
- 示例代码片段：
$token = JWT::encode([ 'uid' => 123, 'role' => 'player', 'exp' => time() + 1800 ], $_ENV['JWT_SECRET'], 'HS256');
API请求中校验Token
所有需鉴权的接口（如获取背包、提交战绩、进入房间）在入口处统一校验Token：
- 从Authorization: Bearer xxx头中提取Token
- 用相同密钥和算法解码并验证签名、是否过期、是否被篡改
- 验证通过后，将uid和role注入请求上下文（如Slim的Request Attributes或自定义全局变量），后续业务逻辑直接使用
- 失败时返回401 Unauthorized或403 Forbidden，不泄露具体错误原因
游戏场景特别注意事项
相比普通Web应用，游戏服务对鉴权有额外要求：
立即学习“PHP免费学习笔记（深入）”；
- 避免Token长期有效：玩家登录后长时间挂机，Token应自动过期；可配合“刷新Token”机制（单独发放短效refresh_token，用于换取新access_token）
- 连接态与HTTP分离时的处理：若游戏用WebSocket或TCP长连接，首次HTTP登录后需把Token传给网关/游戏服，并在连接建立时完成校验，之后连接内消息不再重复验签
- 敏感操作二次确认：如删除角色、大额充值，即使Token有效，也应在服务端再核对一次用户密码哈希或设备指纹
- 黑名单管理（可选）：登出或异常时，把Token的jti（唯一标识）加入Redis短期缓存（TTL=原exp），校验时先查黑名单——适合需要即时失效的场景
安全加固建议
JWT本身不加密（仅签名），传输和使用中需主动防护：
- Token必须通过HTTPS传输，禁用HTTP明文传递
- 前端存储用httpOnly + Secure Cookie（比localStorage更防XSS窃取）
- 服务端校验时强制检查iat（签发时间）防止重放，结合时间戳或nonce字段增强抗重放能力
- 不要在JWT中存放敏感信息（如手机号、余额），只放必要标识字段
