Laravel无效JWT Token绕过中间件问题求助：需返回401未授权

嘿，这个问题我之前排查过类似的，咱们一步步拆解原因和解决办法：

你遇到的情况本质是中间件执行顺序逻辑错误，加上角色验证中间件的边界处理缺失，导致无效Token绕过了拦截：

1. 你当前的路由组中间件顺序是['ensure.role:store', 'auth:api']，也就是先检查角色、再做Token认证。
2. 当Token无效时，auth:api还没执行，Auth::user()会返回null。如果你的ensure.role中间件没有处理「用户未认证」的场景，就会直接放行请求；而后续的auth:api可能因为异常处理逻辑不完整，没有终止请求，最终导致无效Token能访问路由。

1. 调整中间件顺序（最关键） #

必须把auth:api放在ensure.role前面——先确保Token有效、用户已认证，再检查角色权限。修改后的路由组定义：

Route::group([ 'middleware' => ['auth:api', 'ensure.role:store'] ])

这样一来，无效Token会被auth:api直接拦截，根本到不了角色验证中间件，自然不会出现放行的情况。

2. 完善ensure.role中间件的边界处理 #

即使调整了顺序，也要给角色中间件加上「未认证拦截」的兜底逻辑，避免因为配置疏漏出现漏洞。示例代码：

public function handle($request, Closure $next, $role)
{
    // 先检查用户是否已完成认证
    if (!Auth::check()) {
        return response()->json(['message' => '未授权访问'], 401);
    }

    // 再验证角色匹配
    if (!Auth::user()->hasRole($role)) {
        return response()->json(['message' => '权限不足'], 403);
    }

    return $next($request);
}

3. 检查JWT认证的异常处理 #

确保无效/过期Token能被正确捕获并返回401。在app/Exceptions/Handler.php的render方法中添加JWT异常处理：

use Tymon\JWTAuth\Exceptions\TokenInvalidException;
use Tymon\JWTAuth\Exceptions\TokenExpiredException;

public function render($request, Throwable $exception)
{
    // 处理无效Token
    if ($exception instanceof TokenInvalidException) {
        return response()->json(['message' => '无效的Token'], 401);
    }
    // 处理过期Token
    elseif ($exception instanceof TokenExpiredException) {
        return response()->json(['message' => 'Token已过期'], 401);
    }

    return parent::render($request, $exception);
}

4. 验证Auth Guard配置 #

确认config/auth.php中api guard使用的是JWT驱动：

'guards' => [
    'api' => [
        'driver' => 'jwt',
        'provider' => 'users',
    ],
],

按这几步调整后，不管是无效Token、还是角色不匹配的情况，都会被正确拦截并返回对应状态码。

内容的提问来源于stack exchange，提问作者Brian Ruchiadi