Laravel使用tymondesigns/jwt-auth认证成功后请求接口仍返回401问题求助

先添加临时测试路由确认token是否正常传到后端：

// api.php
Route::get('/test-header', function () {
    return response()->json(request()->headers->all());
});

前端携带token请求该接口，查看返回结果中是否存在authorization字段，确认问题出在请求头透传环节还是JWT解析环节。

• Web服务器未透传Authorization请求头 #

  这是HTTPS生产环境最常见的诱因，Apache/Nginx默认会过滤掉部分认证相关的请求头，不会传递给后端PHP进程：
  • 若使用Nginx，需在站点配置的location ~ \.php$块中添加如下配置，重启Nginx生效：

    fastcgi_pass_header Authorization;
    fastcgi_param HTTP_AUTHORIZATION $http_authorization;
    

    同时确认全局配置中underscores_in_headers未设置为Off，避免带下划线的请求头被丢弃。
  • 若使用Apache，需在public目录的.htaccess文件中添加如下规则：

    RewriteRule ^ - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
    

• Laravel信任代理配置错误 #

  生产环境若使用了反向代理、CDN、负载均衡等服务，未在app/Http/Middleware/TrustProxies.php中配置信任代理地址，会导致Laravel错误识别请求协议（把HTTPS请求识别为HTTP），部分情况下会触发安全校验逻辑拒绝请求。可以将$proxies属性设置为'*'临时验证，确认问题后再收敛信任的代理IP范围。

• 服务器时间异常 #

  JWT的有效期校验完全依赖服务器时间，若生产服务器时间和签发token时的时间偏差超过JWT配置的有效期、或者时间晚于当前实际时间，都会直接判定token失效返回401。可执行date命令校验Linux服务器时间是否和标准时间一致。

• 缓存未完全清理 #

  仅执行php artisan config:clear/route:clear不足以覆盖所有缓存场景：
  • 若服务器开启了OPcache，需重启PHP-FPM进程清空OPcache缓存，避免旧的配置/代码仍在运行
  • 确认config/jwt.php中的配置项和本地一致，没有被旧的配置缓存覆盖

• CORS配置缺失 #

  检查config/cors.php中的allowed_headers配置项，确认已包含Authorization，否则跨域请求的认证头会被Laravel的CORS中间件过滤，导致后端无法获取到token。

内容的提问来源于stack exchange，提问作者Amando dos Santos Neto