Express生成的JWT在Laravel tymon/jwt-auth中验证401的解决建议

以下是按优先级排序的排查和解决步骤：

• 确保密钥与签名算法完全一致
  这是最常见的问题根源。检查两边的配置：

  • Express端生成JWT时使用的密钥（secret）必须和Laravel config/jwt.php 里的 'secret' 字段完全相同，包括大小写、特殊字符和空格。
  • 确认签名算法一致：如果Express用的是HS256（默认），Laravel的config/jwt.php里'algorithms'数组必须包含'HS256'，不能混用RS系列算法（除非两边都配置了对应密钥对）。

• 校验Issuer（iss）的匹配度
  Express生成的JWT payload里iss是http://localhost/api/auth/login，Laravel的config/jwt.php里'issuer'字段必须设置为完全相同的值，包括协议（http/https）、域名、路径，哪怕多一个斜杠或者域名拼写错误都会导致校验失败。

• 检查服务器时间同步
  JWT的exp（过期时间）和iat（签发时间）依赖服务器系统时间。如果Express和Laravel服务器的时间差过大（比如超过5分钟），Laravel会判定Token过期或未生效。可以在Laravel环境执行php -r "echo date('U');"获取当前时间戳，和payload里的iat、exp对比，确认Token处于有效期内。

• 验证Token传递格式
  确保在Laravel接口请求中，Token通过Authorization头传递，格式为Bearer <token>，注意Bearer后面有一个空格，且Token没有被截断或编码错误。可以用JWT解析工具验证payload和签名的有效性。

• 清除Laravel配置缓存
  如果修改了config/jwt.php的配置，需要运行以下命令清除缓存，确保新配置生效：

  php artisan config:clear
  php artisan cache:clear
  

• 排查额外校验规则
  虽然当前required_claims只配置了iss、iat、sub，但检查config/jwt.php里的其他配置项：

  • 是否开启了'validate_iss'（默认是true），开启状态下必须保证iss一致；
  • 是否存在自定义的校验逻辑，比如中间件里额外的Token检查。

内容的提问来源于stack exchange，提问作者creator life