Laravel 5.5中Tymon/jwt-auth 1.0.0-rc1令牌过期后无法刷新问题咨询

嘿，我来帮你理清这个问题，你遇到的情况其实是很多人用这个版本时都会踩的小坑，不是JWT_REFRESH_TTL没用，而是中间件配置的问题～

为什么会出现401？ #

你之前把refresh路由放在了auth:api中间件保护下，而这个中间件的作用是验证请求携带的access token是否处于有效期内。当你的access token过了JWT_TTL（1分钟）后，中间件会直接判定未授权，返回401，根本没机会触发refresh方法里的逻辑——而refresh方法才是负责检查令牌是否在JWT_REFRESH_TTL有效期内、并生成新令牌的地方。

JWT_REFRESH_TTL的意义是什么？ #

它的作用是给用户一个“宽限期”：当access token过期后，只要还在JWT_REFRESH_TTL的时间范围内（你这里是2周），用户不需要重新登录，用过期的access token就能换取新的有效access token，避免频繁登录影响体验。只有当JWT_REFRESH_TTL也过期了，才需要用户重新输入凭证登录。

你的修改是正确的吗？ #

是的！把refresh路由从auth:api中间件的排除列表里加上是完全正确的做法，而且这应该是文档的一个小遗漏（毕竟是rc版本，文档可能没跟上代码逻辑）。

不过要注意几个点：

• refresh接口本身不需要auth:api保护，因为tymon/jwt-auth的refresh方法内部已经会验证令牌的签名、以及是否在JWT_REFRESH_TTL有效期内，只有符合条件的请求才会返回新令牌。
• 确保你的refresh接口只接受POST请求（按照JWT的最佳实践），api路由默认已经关闭了CSRF验证，所以不需要额外处理，但如果是在web路由里，记得做好CSRF防护。

补充验证逻辑 #

如果你想确认refresh方法的工作逻辑，可以简单看一下源码：它会先解析请求里的令牌，检查令牌是否过期但仍在刷新有效期内，如果是，就生成新的access token（通常也会生成新的refresh token）返回；如果令牌已经超出JWT_REFRESH_TTL，才会返回401。

内容的提问来源于stack exchange，提问作者Luuk Hoeben