在 ThinkPHP 面试中，鉴权方案是绕不开的高频考点。从传统的 Session/Cookie 到如今前后端分离场景下的 Token 鉴权，面试官往往会追问：“你在项目中如何做用户认证？”如果你能清晰地讲出 JWT 在 ThinkPHP 中的完整落地思路，会显著拉开与其他候选人的差距。本文从面试实战角度出发，系统梳理 JWT 鉴权的核心原理、ThinkPHP 中的实现步骤以及面试中常见的追问点。
一、为什么前后端分离场景下 JWT 成为主流
传统 Session 鉴权依赖服务端存储会话信息，在分布式部署时需要额外解决 Session 共享问题（如 Redis 集中存储）。而 JWT（JSON Web Token）将用户状态编码到 Token 本身，服务端无需存储会话，天然适合无状态、水平扩展的 API 架构。
JWT 由三部分组成，用 . 分隔：
- Header：声明签名算法（如 HS256）和 Token 类型
- Payload：存放业务声明，如用户 ID、过期时间、签发时间
- Signature：对前两部分进行签名，防止篡改
面试中常被问到的一个问题是：“JWT 的 Payload 是加密的吗？”答案是否。Payload 仅做 Base64Url 编码，任何人都能解码查看，因此绝不能在其中存放密码等敏感信息。JWT 保证的是完整性而非机密性。
二、ThinkPHP 中集成 JWT 的完整步骤
1. 安装 JWT 扩展包
ThinkPHP 本身不内置 JWT，通常使用 firebase/php-jwt 这个成熟的库：
composer require firebase/php-jwt
2. 封装 JWT 服务类
在 app/common/service/ 下创建 JwtService.php，统一管理 Token 的签发与验证：
namespace app\common\service;
use Firebase\JWT\JWT;
use Firebase\JWT\Key;
use think\facade\Config;
class JwtService
{
private static $secretKey;
private static $expire;
private static function init()
{
self::$secretKey = Config::get('jwt.secret');
self::$expire = Config::get('jwt.expire', 7200);
}
public static function issue(array $payload): string
{
self::init();
$now = time();
$data = [
'iss' => 'thinkphp-api',
'iat' => $now,
'exp' => $now + self::$expire,
'jti' => md5(uniqid('', true)),
'sub' => $payload['uid'],
'data' => $payload,
];
return JWT::encode($data, self::$secretKey, 'HS256');
}
public static function verify(string $token): array
{
self::init();
try {
$decoded = JWT::decode($token, new Key(self::$secretKey, 'HS256'));
return (array) $decoded->data;
} catch (\Firebase\JWT\ExpiredException $e) {
throw new \think\exception\HttpException(401, 'Token 已过期');
} catch (\Exception $e) {
throw new \think\exception\HttpException(401, 'Token 无效');
}
}
}
密钥配置建议放在 .env 文件中，而非硬编码在代码里：
JWT_SECRET=your-256-bit-secret-key
JWT_EXPIRE=7200
3. 编写鉴权中间件
中间件是 ThinkPHP 中处理请求前置逻辑的最佳位置。创建 app/api/middleware/Auth.php：
namespace app\api\middleware;
use app\common\service\JwtService;
use think\Response;
class Auth
{
public function handle($request, \Closure $next)
{
$token = $request->header('Authorization', '');
$token = str_replace('Bearer ', '', $token);
if (empty($token)) {
return json(['code' => 401, 'msg' => '未提供 Token'], 401);
}
$userData = JwtService::verify($token);
$request->uid = $userData['uid'];
$request->userData = $userData;
return $next($request);
}
}
关键点：将解析出的用户信息挂载到 $request 对象上，后续控制器可直接通过 $request->uid 使用，避免重复解析。
4. 注册中间件并定义路由
在 route/app.php 中为需要鉴权的路由分组挂载中间件：
Route::group('api', function () {
Route::post('login', 'Auth/login');
Route::get('user/profile', 'User/profile');
})->middleware(\app\api\middleware\Auth::class);
登录接口本身需要排除在鉴权之外，可以在中间件中通过白名单机制处理，或直接不将登录路由放入该分组。
三、面试高频追问与应对策略
追问一：Token 过期了怎么办？
单 Token 方案用户体验较差——过期即需重新登录。生产环境通常采用双 Token 机制：
- Access Token：有效期短（如 2 小时），用于接口鉴权
- Refresh Token：有效期长（如 7 天），用于换取新的 Access Token
Refresh Token 需要服务端存储（如 Redis），以便支持主动失效和防止重放攻击。
追问二：如何实现主动登出？
JWT 本身无状态，签发后无法直接撤销。常见方案是维护一个黑名单：用户登出时将 Token 的 jti 写入 Redis，并设置与 Token 剩余有效期一致的 TTL。中间件验证时先检查黑名单。
追问三：JWT 和 Session 怎么选？
这题没有标准答案，关键是展示你的判断力：
- 选 JWT：纯 API 服务、多端共用、需要跨域、追求无状态水平扩展
- 选 Session：传统 Web 应用、对实时撤销要求高、团队对 Token 管理经验不足
面试官更看重你能否说清两者的取舍，而非给出唯一正确答案。
追问四：密钥安全如何保障？
- 密钥长度至少 256 位，使用随机生成
- 通过环境变量注入，禁止提交到代码仓库
- 定期轮换密钥，配合双密钥过渡方案（旧 Token 用旧密钥验证，新 Token 用新密钥签发）
四、总结
在 ThinkPHP 面试中回答 JWT 鉴权问题，建议按以下结构组织答案：先说清 JWT 的结构与无状态特性，再讲 ThinkPHP 中的落地路径（扩展包 → 服务类 → 中间件 → 路由分组），最后主动补充双 Token、黑名单、密钥管理等进阶方案。这样的回答既有工程细节，又有架构视野，能有效体现你的实战深度。记住，面试官考察的不是你会不会调用 JWT::encode()，而是你是否理解这套机制背后的权衡与边界。
未经允许不得转载：任鹏个人博客 » ThinkPHP 面试精讲：JWT 鉴权在 ThinkPHP 中的落地实践
