Laravel 5.8集成外部API JWT登录后本地鉴权失败求助

首先，你遇到的Token Signature could not be verified错误本质很明确：本地tymon/jwt-auth组件使用的签名密钥/算法，和外部API生成JWT时用的不一致。JWT的签名就是用来验证Token是否由可信方签发的，所以本地用自己的密钥去验证外部Token，肯定过不了签名校验。

下面给你两种可行的解决方案，根据你的实际场景选择：

方案一：本地签发自己的JWT（推荐，更安全稳定） #

这个思路是把外部API的登录仅作为身份验证步骤，验证通过后，由本地系统给用户签发自己的JWT。这样前端用本地Token访问接口时，jwt-auth就能正常识别，完全避开签名不匹配的问题。

具体步骤：

1. 调用外部API完成登录验证：在登录控制器中，用Curl调用外部API验证用户账号密码，拿到外部Token和用户信息。
2. 校验外部Token的有效性：（可选但建议）调用外部API的Token校验接口，确保拿到的Token是合法有效的。
3. 本地关联/创建用户：根据外部返回的用户标识（比如邮箱、用户ID），在本地MySQL用户表中查找或创建对应的用户记录。
4. 本地签发JWT：用tymon/jwt-auth给本地用户生成Token，返回给前端。

示例代码（登录控制器）：

public function login(Request $request)
{
    // 1. 获取前端提交的登录凭证
    $credentials = $request->validate([
        'email' => 'required|email',
        'password' => 'required'
    ]);

    // 2. 调用外部登录API
    $externalLoginData = $this->requestExternalLogin($credentials);
    if (!$externalLoginData['success']) {
        return response()->json(['error' => '外部登录失败'], 401);
    }

    // 3. 验证外部Token有效性
    if (!$this->validateExternalToken($externalLoginData['token'])) {
        return response()->json(['error' => '外部Token无效'], 401);
    }

    // 4. 本地创建/获取用户
    $user = User::firstOrCreate(
        ['email' => $externalLoginData['user']['email']],
        ['name' => $externalLoginData['user']['name']]
        // 按需添加其他字段
    );

    // 5. 本地签发JWT
    $localToken = \JWTAuth::fromUser($user);

    // 返回结果给前端
    return response()->json([
        'token' => $localToken,
        'user' => $user
    ]);
}

// 封装外部登录请求
private function requestExternalLogin(array $credentials): array
{
    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, 'https://your-external-api.com/login');
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode($credentials));
    curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    $response = curl_exec($ch);
    curl_close($ch);
    
    return json_decode($response, true) ?? [];
}

// 封装外部Token验证请求
private function validateExternalToken(string $token): bool
{
    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, 'https://your-external-api.com/validate-token');
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode(['token' => $token]));
    curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    $response = curl_exec($ch);
    curl_close($ch);
    
    $result = json_decode($response, true) ?? [];
    return $result['success'] ?? false;
}

前端还是用原来的setAuthorizationToken方法，把本地返回的Token设置到Axios请求头中即可，本地jwt.auth中间件就能正常验证了。

方案二：让本地jwt-auth使用和外部一致的签名配置 #

如果一定要直接使用外部Token访问本地接口，你需要让本地jwt-auth完全兼容外部JWT的签名规则：

1. 确认外部API的JWT配置：联系外部API开发者，获取他们使用的加密算法（比如HS256、RS256）和签名密钥（对称加密的secret或非对称加密的公钥）。
2. 修改本地jwt-auth配置：
   • 如果是对称加密（HS256）：把外部的secret替换到本地.env文件的JWT_SECRET中。
   • 如果是非对称加密（RS256）：在config/jwt.php中修改配置：

     'algo' => 'RS256',
     'public_key' => storage_path('app/external-public-key.pem'), // 外部API提供的公钥路径
     // 如果你不需要本地签发Token，私钥可以不用配置
     

3. 测试验证：重启服务后，用外部Token访问本地带jwt.auth中间件的接口，应该就能通过签名校验了。

为什么之前的\JWTAuth::setToken()无效？ #

setToken()只是把Token字符串绑定到JWTAuth实例中，但后续的签名验证逻辑依然会使用本地配置的密钥和算法去校验Token，所以只要签名不匹配，还是会抛出错误。

内容的提问来源于stack exchange，提问作者mstdmstd