LexikJWTAuthenticationBundle使用web-token编码器时JWT令牌始终验证失败

问题背景 #

基于Sulu CMS 2.6.2 + Symfony 6.4.7 + PHP 8.3的API Platform项目，切换LexikJWTAuthenticationBundle的编码器为lexik_jwt_authentication.encoder.web_token后，JWT令牌始终验证失败：

• 默认lcobucci编码器可正常工作，自定义用户提供者无问题
• 已通过web-token官方命令生成密钥，经key:analyze和keyset:analyze验证密钥有效
• 令牌可正确反序列化，但验证环节失败；启用加密配置后，签发正常但解密仍返回“Invalid JWT Token”

排查与解决步骤 #

1. 确保密钥一致性与权限 #

• 签发和验证必须使用同一套密钥对，避免签名密钥、验证密钥、加密密钥路径混淆
• 密钥文件权限设置为600（仅所有者可读），PHP进程需具备读取权限，权限过高会导致验证时被拒绝

2. 修正web-token编码器配置细节 #

明确指定算法与密钥标识，确保配置匹配：

# config/packages/lexik_jwt_authentication.yaml
lexik_jwt_authentication:
    encoder:
        service: lexik_jwt_authentication.encoder.web_token
        options:
            token_ttl: 3600
            signature_algorithm: RS256
            encryption_algorithm: A256GCM # web-token推荐的加密算法
    web_token:
        signature_key_set_path: '%kernel.project_dir%/config/jwt/private.pem' # 签名私钥
        verification_key_set_path: '%kernel.project_dir%/config/jwt/public.pem' # 验证公钥
        encryption_key_set_path: '%kernel.project_dir%/config/jwt/encryption.pem' # 加密密钥
        encryption_key_identifier: 'enc' # 需与生成加密密钥时指定的kid一致

生成加密密钥时指定kid：

php bin/console jwt:key:generate --type=enc --kid=enc

3. 规避Sulu请求上下文冲突 #

Sulu的会话机制可能干扰JWT验证，调整防火墙配置确保API路由独立：

# config/packages/security.yaml
security:
    firewalls:
        api:
            pattern: ^/api
            stateless: true
            jwt: ~
            provider: your_custom_user_provider
            anonymous: false
            # 移除Sulu相关的会话配置，避免干扰

4. 开启详细日志定位根因 #

添加web-token专属日志，查看验证失败的具体原因：

# config/packages/dev/monolog.yaml
monolog:
    handlers:
        jwt:
            type: stream
            path: "%kernel.logs_dir%/jwt.log"
            channels: ['web-token']
            level: debug

查看var/log/jwt.log，可定位是否为算法不兼容、密钥kid不匹配、令牌格式错误等问题。

5. 验证令牌结构与内容 #

用web-token命令解析令牌，确认签名与加密信息：

php bin/console jwt:decode <your_jwt_token>

对比输出的算法、kid、密钥标识等信息，确保与配置完全一致。

内容的提问来源于stack exchange，提问作者NeuralClone