Symfony 5.4集成lexik/jwt-authentication-bundle时JWT签名失败问题

针对Symfony 5.4 + lexik/jwt-authentication-bundle 2.16版本中，调用/api/login_check返回500错误、抛出JWTEncodeFailureException（提示无法创建签名JWT，且调试发现!$jws->isSigned()）的问题，可按以下步骤排查：

1. 修正配置拼写错误 #

检查lexik_jwt_authentication.yaml中的token_ttl配置：

# 原错误配置
token_ttl: "%jwt_token_tll%"
# 修正后（最后两个字母顺序错误）
token_ttl: "%jwt_token_ttl%"

该拼写错误可能导致配置加载异常，进而干扰签名逻辑。

2. 验证环境变量与密钥文件 #

• 确保.env文件中的密钥路径和密码配置准确：

  JWT_SECRET_KEY=%kernel.project_dir%/config/jwt/private.pem
  JWT_PUBLIC_KEY=%kernel.project_dir%/config/jwt/public.pem
  JWT_PASSPHRASE=你的密钥生成时设置的密码
  

• 调整密钥文件权限：Linux/macOS下执行chmod 600 config/jwt/*.pem，确保PHP进程（如www-data）能读取私钥文件。
• 重新生成密钥对（若怀疑文件损坏）：

  openssl genrsa -out config/jwt/private.pem -aes256 4096
  openssl rsa -pubout -in config/jwt/private.pem -out config/jwt/public.pem
  

  生成时确认密码输入与.env中JWT_PASSPHRASE完全一致。

3. 检查依赖兼容性 #

lexik/jwt-authentication-bundle 2.16仅兼容Lcobucci JWT 3.x，若安装4.x版本会导致签名失败。检查composer.json：

"require": {
    // 确保版本正确
    "lcobucci/jwt": "^3.4"
}

若存在版本冲突，执行composer require lcobucci/jwt:^3.4修正。

4. 调试签名异常细节 #

临时修改vendor/lexik/jwt-authentication-bundle/Encoder/LcobucciJWTEncoder.php的encode方法，捕获具体错误：

public function encode(array $payload): string
{
    $builder = $this->builderFactory->create()
        ->issuedBy($this->issuer)
        ->permittedFor($this->audience)
        ->identifiedBy(Uuid::uuid4()->toString(), true)
        ->issuedAt(new DateTimeImmutable())
        ->canOnlyBeUsedAfter(new DateTimeImmutable())
        ->expiresAt((new DateTimeImmutable())->modify(sprintf('+%d seconds', $this->ttl)))
        ->withClaim('roles', $payload['roles']);

    foreach ($payload as $key => $value) {
        if (!\in_array($key, ['roles', 'sub'])) {
            $builder->withClaim($key, $value);
        }
    }

    try {
        $jws = $builder->getToken($this->signer, $this->signingKey);
    } catch (\Exception $e) {
        // 记录异常到日志（仅调试用）
        error_log('JWT签名失败原因: ' . $e->getMessage());
        throw new JWTEncodeFailureException('Unable to create a signed JWT from the given configuration.', 0, $e);
    }

    if (!$jws->isSigned()) {
        throw new JWTEncodeFailureException('Unable to create a signed JWT from the given configuration.');
    }

    return (string) $jws;
}

查看服务器日志，即可获取签名失败的具体原因（如密码错误、密钥格式无效等）。

5. 确认Security配置无干扰 #

• 确保security.yaml中login防火墙的stateless: true已正确设置，避免Session影响JWT生成。
• 验证app_all_users用户提供者能正确加载用户，且用户密码认证通过（认证失败不会进入签名步骤，因此该问题大概率与认证无关）。

内容的提问来源于stack exchange，提问作者user3440145