使用firebase/php-jwt生成的JWT在jwt.io验证显示无效

以下是针对该问题的具体排查和解决步骤：

1. 验证密钥完全匹配 #

• 若使用对称加密算法（如HS256/HS512）：将代码中用于签名的$key原封不动复制到jwt.io「Verify Signature」栏的输入框，确保无多余空格、换行或转义字符。
• 若使用非对称加密算法（如RS256/RS512）：需粘贴对应公钥到jwt.io，公钥必须包含完整的-----BEGIN PUBLIC KEY-----和-----END PUBLIC KEY-----标识，且格式正确（每行64字符，结尾有换行）。

2. 检查Token格式完整性 #

• 确认生成的Token未被URL编码：若输出时做了urlencode处理，需先解码再粘贴到jwt.io，否则会因字符转义导致三段式结构损坏。
• 剔除Token中的冗余字符：保证Token是由.分隔的连续三段Base64URL字符串，无换行、空格或其他无关字符。

3. 规范Claims参数格式 #

• 重点检查exp（过期时间）字段：必须为整数时间戳，不能是字符串或日期格式，若设置错误会被jwt.io判定为无效或过期。
• 避免自定义Claims与标准字段冲突：不要给iss、sub、aud等标准字段设置非法值，比如iss不能为空字符串。

4. 确认加密算法一致 #

代码中指定的编码算法需与jwt.io选择的算法完全对应：

• 例如代码使用JWT::encode($payload, $key, 'HS256')，jwt.io的算法下拉框必须选择「HS256」，不能误选其他算法。

示例参考代码 #

<?php
require 'vendor/autoload.php';
use Firebase\JWT\JWT;

// 签名密钥，需与jwt.io输入的完全一致
$key = "your-256-bit-secret";
$payload = [
    "iss" => "your-app-domain",
    "exp" => time() + 3600, // 正确的整数时间戳
    "user_id" => 123
];

// 生成JWT，指定算法为HS256
$jwt = JWT::encode($payload, $key, 'HS256');
echo $jwt;

// 本地解码验证
$decoded = JWT::decode($jwt, $key, ['HS256']);
print_r($decoded);
?>

内容的提问来源于stack exchange，提问作者Akshay Khale