如何使用同一JWT令牌对多个Laravel API实现身份验证

你遇到的核心问题本质是tymon/jwt-auth组件的默认校验规则没有在新服务中被正确配置，主要触发原因有两类：

• 遗漏config/jwt.php配置文件是最直接诱因：tymon/jwt-auth会默认读取该配置文件中的声明校验规则，如果你没有手动创建该文件，组件会使用包内置的默认配置，和原有系统的配置不一致，比如aud（受众）、iss（签发者）声明的校验开关、黑名单存储配置、用户提供者配置等都会默认走新服务的原生值，和原有系统不匹配就会导致校验失败。
• 第二点就是你猜测的用户存在性校验：tymon/jwt-auth的默认认证逻辑会尝试从令牌解析出来的用户ID，去当前服务配置的用户表中查询对应记录，如果新服务没有和原有服务共用用户数据库、或者用户表结构/主键字段配置不一致，也会导致认证失败。

tymon/jwt-auth默认会开启以下额外校验规则：

• 签名有效性校验：需要使用完全相同的加密算法和密钥，二者任一不一致都会直接校验失败
• 声明有效性校验：默认会校验exp（过期时间）、nbf（生效时间）、iat（签发时间）三个基础声明，部分配置下还会校验iss（签发者）、aud（受众）、sub（主题）等自定义声明，只要有一个声明不符合当前服务的配置规则就会拒绝通过
• 黑名单校验：如果你开启了JWT黑名单功能，还会校验当前令牌是否已经被列入黑名单，两个服务需要共用同一套黑名单存储（比如共用Redis实例）才能保证黑名单规则同步
• 用户有效性校验：默认会校验令牌对应的用户是否存在于当前服务配置的用户数据源中，用户不存在、状态异常都会导致认证失败

方案1：共用原有JWT体系（推荐） #

如果你希望复用现有令牌体系，按以下步骤配置即可：

1. 从原有Laravel项目中复制config/jwt.php文件到新服务的对应目录，保证所有配置项完全一致，尤其注意加密算法、签发者、受众、黑名单存储配置、用户模型配置几个核心项
2. 配置新服务的用户提供者指向和原有系统相同的用户数据源：可以直接共用原有用户数据库，或者配置用户数据同步机制保证两个服务的用户ID等核心信息完全对齐
3. 如果开启了JWT黑名单功能，需要配置两个服务共用同一套缓存/Redis存储实例，保证令牌作废逻辑在两个服务中都生效
4. 挂载auth:api中间件到需要认证的路由即可，配置完成后原有服务签发的令牌就可以正常在新服务中通过校验

方案2：搭建全新认证体系 #

如果你希望重新搭建独立的认证体系，可以采用以下方案：

1. 在新服务中独立配置tymon/jwt-auth的密钥和相关规则，不与原有系统耦合
2. 提供独立的登录接口给前端，前端登录成功后同时保存两套令牌，调用对应服务时携带对应的令牌即可
3. 也可以采用OAuth2.0的统一认证服务模式，搭建独立的SSO认证中心统一发放令牌，两个业务服务都对接统一认证中心完成校验，后续扩展新服务时更易维护

你补充提到的补全config/jwt.php配置文件后问题解决，就是因为配置文件同步后两个服务的声明校验规则完全对齐，所以原有令牌可以正常通过新服务的校验。

内容的提问来源于stack exchange，提问作者NDDT