Symfony 4.4中如何在外部服务HTTP请求中使用已认证用户JWT令牌

你无法直接读取rawToken是因为该属性是类的受保护属性，没有对外暴露直接读写的权限，以下是两种生产环境可用的正确实现方式：

方案1：通过Token对象公开方法获取（推荐） #

Lexik\Bundle\JWTAuthenticationBundle\Security\Authentication\Token\JWTUserToken本身提供了公开方法获取原始令牌，不需要反射修改属性访问权限，符合bundle的向后兼容承诺。

<?php

namespace App\Service;

use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
use Lexik\Bundle\JWTAuthenticationBundle\Security\Authentication\Token\JWTUserToken;
use Symfony\Contracts\HttpClient\HttpClientInterface;

class ExternalApiClient
{
    private $tokenStorage;
    private $httpClient;

    public function __construct(
        TokenStorageInterface $tokenStorage,
        HttpClientInterface $httpClient
    ) {
        $this->tokenStorage = $tokenStorage;
        $this->httpClient = $httpClient;
    }

    public function fetchUserData()
    {
        $token = $this->tokenStorage->getToken();
        if (!$token instanceof JWTUserToken) {
            throw new \LogicException('当前请求无有效JWT认证凭证');
        }

        // 获取原始JWT字符串：getCredentials()是Symfony TokenInterface规定的通用方法
        // JWTUserToken内部实现就是返回$rawToken属性的值
        $rawJwt = $token->getCredentials();

        // 如果你安装的lexik版本在2.10以上，也可以使用语义更明确的getRawToken()
        // $rawJwt = $token->getRawToken();

        // 发起外部请求时直接携带即可
        return $this->httpClient->request('GET', 'https://external-service/api/user-data', [
            'headers' => [
                'Authorization' => sprintf('Bearer %s', $rawJwt)
            ]
        ])->toArray();
    }
}

注意：禁止通过反射直接读取受保护属性，这类写法和bundle内部实现强绑定，后续版本升级调整属性名时会直接导致业务故障。

方案2：直接从当前请求头提取（无bundle依赖） #

JWT令牌本身是客户端通过Authorization请求头传递到服务端的，你可以直接从当前请求对象中提取原始令牌，完全不依赖JWT认证bundle的内部实现：

<?php

namespace App\Service;

use Symfony\Component\HttpFoundation\RequestStack;
use Symfony\Contracts\HttpClient\HttpClientInterface;

class ExternalApiClient
{
    private $requestStack;
    private $httpClient;

    public function __construct(
        RequestStack $requestStack,
        HttpClientInterface $httpClient
    ) {
        $this->requestStack = $requestStack;
        $this->httpClient = $httpClient;
    }

    public function fetchUserData()
    {
        $rawJwt = $this->getCurrentRawJwt();
        if (!$rawJwt) {
            throw new \LogicException('当前请求无有效JWT认证凭证');
        }

        return $this->httpClient->request('GET', 'https://external-service/api/user-data', [
            'headers' => [
                'Authorization' => sprintf('Bearer %s', $rawJwt)
            ]
        ])->toArray();
    }

    private function getCurrentRawJwt(): ?string
    {
        $request = $this->requestStack->getCurrentRequest();
        if (!$request) {
            return null;
        }

        $authHeader = $request->headers->get('Authorization', '');
        // 兼容Symfony4.4支持的PHP7.4版本写法，PHP8+可替换为str_starts_with
        if (strpos($authHeader, 'Bearer ') === 0) {
            return substr($authHeader, 7);
        }

        return null;
    }
}

这种方案的优势是耦合度极低，后续即使更换JWT认证组件，取令牌的逻辑也不需要调整。如果你的项目开启了JWT自动刷新功能，优先选择方案1，避免拿到请求中携带的已过期旧令牌。

注意事项 #

• 拿到原始令牌后不需要做额外的编码、解析操作，直接拼接Bearer 前缀放到外部请求的Authorization头中即可，外部服务会自行解析sub等令牌声明。
• 不要把拿到的JWT令牌写入日志、非加密缓存等存储介质，避免令牌泄露导致安全问题。
• 如果项目部署在CDN、反向代理之后，提前确认代理没有过滤Authorization头，否则两种方案都无法拿到正确的令牌值。

内容的提问来源于stack exchange，提问作者Youssef SABIH