在 ThinkPHP 中使用 JWT 签发 Token

### ThinkPHP 中 JWT 的使用详解及实现机制 #### 一、JWT 基本概念 JSON Web Token (JWT) 是一种开放标准 (RFC 7519)，用于在网络应用环境间安全地传输信息。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。通过加密算法生成的签名来验证数据的真实性和完整性。 在 PHP 开发中，通常会借助第三方库 `firebase/php-jwt` 来简化 JWT 的创建与校验过程[^1]。 --- #### 二、ThinkPHP 中 JWT 的基本操作 ##### 1. 安装依赖 要使用 JWT 功能，需先安装 Firebase 提供的 php-jwt 库： ```bash composer require firebase/php-jwt ``` ##### 2. 创建与编码 JWT 以下是基于 ThinkPHP 和 `firebase/php-jwt` 的示例代码： ```php <?php use \Firebase\JWT\JWT; $key = "example_key"; // 密钥，建议设置为复杂字符串并存储于配置文件中 $payload = [ "iss" => "http://example.org", // 发行人 "aud" => "http://example.com", // 接收方 "iat" => time(), // 当前时间戳 "exp" => time() + 3600 // 过期时间 ]; // 编码 token $jwt = JWT::encode($payload, $key, 'HS256'); echo "Generated JWT: {$jwt}\n"; ?> ``` 此代码片段展示了如何利用私有密钥 `$key` 对负载 `$payload` 进行编码，并生成一个符合 HS256 加密算法的 JWT 字符串[^1]。 ##### 3. 解析与验证 JWT 当客户端携带该令牌请求服务端资源时，服务器需要对其进行解析与验证： ```php <?php try { $decoded = JWT::decode($jwt, $key, ['HS256']); // 将对象转换成数组形式以便后续处理 $decoded_array = (array)$decoded; print_r($decoded_array); } catch (\Exception $e) { echo "Error decoding jwt: ", $e->getMessage(); } ?> ``` 如果解码失败，则抛出异常；成功则返回原始 payload 数据结构[^1]。 --- #### 三、ThinkPHP 配合中间件完成 Token 认证流程 为了增强安全性，在实际项目开发过程中推荐引入 **中间件** 实现自动化的身份认证逻辑。下面是一个简单的例子说明如何结合 ThinkPHP 构建这样的功能[^2]: ##### 1. 自定义签发函数 首先编写工具类中的 signToken 方法用来封装用户的敏感资料至 token 内部: ```php function signToken(array $userData): string{ $configKey = config('app.jwt_secret'); // 获取全局配置项作为 secret key return JWT::encode([ 'uid'=>$userData['id'], // 用户唯一标识符 'username'=>$userData['username'] // 可选字段... ],$configKey,'HS256'); } ``` ##### 2. 登录接口调用 模拟微信登录场景下生成 token 并反馈给前端开发者测试使用: ```php public function wxLogin(){ $userInfo=['id'=>rand(1,10),'username'=>'testUser'.mt_rand()]; $token=signToken($userInfo); return json(['status'=>true,'message'=>"login success",'data'=>['access_token'=>$token]]); } ``` ##### 3. 添加自定义中间件 新建名为 AuthMiddleware.php 文件位于 application/middleware/ 下面定义拦截器行为: ```php namespace app\middleware; class JwtAuth { protected static $_instance=null; private $__construct(){} public static getInstance(){ if(is_null(self::$_instance)){ self::$_instance=new self(); } return self::$_instance; } /** * Handle an incoming request. * * @param RequestInterface $request * @param Closure $next */ public function handle($request,$next){ try{ $bearer=$request->header('Authorization',''); list($_type,$_token)=explode(' ',$bearer); if(empty($_token)||strtolower(trim($_type))!=='bearer'){ throw new Exception("Invalid authorization header format."); } global $_SERVER; parse_str(parse_url($_SERVER["REQUEST_URI"],PHP_URL_QUERY),$queryParameters); unset($queryParameters['timestamp'],$queryParameters['signature']); ksort($queryParameters,SORT_STRING|SORT_FLAG_CASE); $stringToSign=http_build_query($queryParameters).'&'.$_token; define('__SIGNATURE__',hash_hmac('sha256',trim($stringToSign),config('app.jwt_secret'))); if(!isset($GLOBALS['__DECODED_TOKEN__'])){ $GLOBALS['__DECODED_TOKEN__']=JWT::decode($_token,config('app.jwt_secret'),['HS256']); foreach ($GLOBALS['__DECODED_TOKEN__']->getHeaders() as &$value){ setcookie(str_replace('-','',mb_convert_case($value,true)),null,-1,"/"); } } $request->bind('authInfo',(array)$GLOBALS['__DECODED_TOKEN__']); }catch(\Throwable $th){ abort(401,['error'=>$th->getMessage()]); } return $next($request); } } ``` 最后记得注册这个新的 middleware 到框架的核心路由管理器里面去生效即可[^2]. --- #### 四、总结 本文介绍了 JSON Web Tokens 在 ThinkPHP 框架下的具体实践方式及其背后的工作原理。从基础的概念出发逐步深入探讨了包括但不限于以下几个方面的重要知识点: - 如何正确构建以及消费 JWT； - 结合业务需求设计合理的 API 路径保护策略； - 使用成熟的开源组件降低重复造轮子的风险成本。 希望以上内容能够帮助读者更好地理解并掌握这一关键技术手段的应用技巧！ ---