JWT是json web token缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。基于token的身份验证可以替代传统的cookie+session身份验证方法。
它定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。JWT 可以使用 HMAC 算法或者是 RSA 的公钥密钥对进行签名。它具备两个特点：
简洁(Compact)：可以通过URL, POST 参数或者在 HTTP header 发送，因为数据量小，传输速度快
首先，我们需要安装JWT的PHP库，可以使用composer进行安装：
composer require firebase/php-jwt
然后，我们可以在ThinkPHP8中创建一个JWT的工具类：
<?phpnamespace app\common\lib;use Firebase\JWT\JWT;class Auth
{public static function createToken($userid){$key = md5('my_secret_key');$token = ["iss" => 'issuer', // 签发者"iat" => time(), // 签发时间"nbf": time(),//该时间之前不接收处理该Token"exp" => time() + 7200, // 过期时间"aud" => 'audience', // 接收者"sub" => 'subject', // 主题"data" => [ // 自定义信息'userid' => $userid]];$jwt = JWT::encode($token, $key);return $jwt;}public static function checkToken($token){$key = md5('my_secret_key');try {$decoded = JWT::decode($token, $key, ['HS256']);return (array) $decoded->data;} catch (\Firebase\JWT\SignatureInvalidException $e) {// 签名无效throw new \Exception('SignatureInvalidException');} catch (\Firebase\JWT\ExpiredException $e) {// token过期throw new \Exception('ExpiredException');} catch (\Firebase\JWT\BeforeValidException $e) {// token在当前服务器时间之前throw new \Exception('BeforeValidException');} catch (\Exception $e) {// 其他错误throw new \Exception($e->getMessage());}}
}在登录接口中，我们可以创建一个JWT token，并将其返回给客户端：
public function login()
{// 假设用户验证通过后获取用户ID$userid = 1;$token = Auth::createToken($userid);return json(['token' => $token]);
}
在其他需要验证的接口中，我们可以使用JWT token来验证用户身份：
public function index()
{$token = Request::header('Authorization');if (empty($token)) {return json(['error' => 'Token is missing'], 401);}try {$userid = Auth::checkToken($token)['userid'];// 使用$userid进行其他操作} catch (\Exception $e) {return json(['error' => $e->getMessage()], 401);}return json(['message' => 'Success']);
}在上述代码中，我们首先创建了一个token，然后在需要验证的接口中，从HTTP头信息中取出token，并使用我们的密钥对其进行解析。如果解析成功，我们就可以从中获取用户的ID，然后进行后续的操作。如果解析失败，我们将返回错误信息。