firebase/php-jwt

Les faits et les vérifications qui les fondent

Rien de ce qui suit n’est copié d’une documentation. La vérification content/libraries/verify/firebase-php-jwt/run.sh a exécuté firebase/php-jwt 7.2.1 dans l’image de conteneur php:8.5.11-cli-trixie le 20 octobre 2026 ; la page doit correspondre à ce que la vérification a affiché, et chaque fait cite les lignes en question.

• Algorithmes JWS

  HS256HS384HS512RS256RS384RS512ES256ES384ES256KEdDSA

  Signature et vérification réussies avec HS256/384/512, RS256/384/512, ES256, ES384, ES256K et EdDSA ; ES512 et PS384/512 ne sont pas pris en charge, et PS256 nécessite phpseclib.

  Relevé par la vérification

  fact jws-algorithms = HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES256K, EdDSA
  evidence jws-algorithms: PS256: DomainException: phpseclib/phpseclib is required for PS256 support
  evidence jws-algorithms: PS384: DomainException: Algorithm not supported
  evidence jws-algorithms: PS512: DomainException: Algorithm not supported
  evidence jws-algorithms: ES512: DomainException: Algorithm not supported
  evidence jws-algorithms: Ed25519: no key family

• Encodage des signatures ES256

  raw

  Les signatures ES256 font 64 octets, en r‖s brut.

  Relevé par la vérification

  fact jws-ecdsa-encoding = raw

• Signature DER dans un JWS

  rejected

  Une signature ES256 encodée en DER échoue avec SignatureInvalidException: Signature verification failed.

  Relevé par la vérification

  fact jws-der-signature = rejected
  evidence jws-der-signature: Firebase\JWT\SignatureInvalidException: Signature verification failed

• Liste d’algorithmes autorisés

  required

  decode() exige un objet Key doté d’un algorithme ; une simple chaîne de clé échoue, et un jeton RS256 face à new Key($ecPem, 'ES256') échoue avec Incorrect key for this algorithm.

  Relevé par la vérification

  fact jwt-algorithm-allowlist = required
  evidence jwt-algorithm-allowlist: RS256 token against new Key(EC PEM, 'ES256'): UnexpectedValueException: Incorrect key for this algorithm
  evidence jwt-algorithm-allowlist: decode() with a bare key string: UnexpectedValueException: "kid" empty, unable to lookup correct key

• Jetons non signés (alg none)

  rejected

  Un jeton non signé échoue avec Algorithm not supported.

  Relevé par la vérification

  fact jwt-alg-none = rejected
  evidence jwt-alg-none: UnexpectedValueException: Algorithm not supported

• Clé publique utilisée comme secret HMAC

  rejected

  Un jeton HS256 dont la clé est le texte PEM a échoué face à la Key ES256, mais new Key($pem, 'HS256') l’a vérifié.

  Relevé par la vérification

  fact jwt-hmac-public-key = rejected
  evidence jwt-hmac-public-key: Key(PEM, 'ES256'): UnexpectedValueException: Incorrect key for this algorithm
  evidence jwt-hmac-public-key: Key(PEM, 'HS256') built by the application: ok

• Courbe vérifiée par rapport à alg

  not-enforced

  Un jeton signé en ES256 avec une clé P-384 a été produit et vérifié avec succès.

  Relevé par la vérification

  fact jwt-ecdsa-curve-check = not-enforced
  evidence jwt-ecdsa-curve-check: ok

• Décalage d’horloge toléré par défaut

  0s

  JWT::$leeway vaut 0 : un jeton expiré trois secondes plus tôt a été rejeté.

  Relevé par la vérification

  fact jwt-clock-skew = 0s
  evidence jwt-clock-skew: JWT::$leeway = 0

• Claim d’expiration obligatoire

  no

  Un jeton sans exp a été décodé avec succès.

  Relevé par la vérification

  fact jwt-exp-required = no

• Secret HMAC court

  rejected

  Une clé HS256 de 5 octets échoue avec Provided key is too short.

  Relevé par la vérification

  fact jwt-hmac-short-secret = rejected
  evidence jwt-hmac-short-secret: 5-byte HS256 key: DomainException: Provided key is too short

Utilisation

<?php
require 'vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$private = openssl_pkey_new(['private_key_type' => OPENSSL_KEYTYPE_EC, 'curve_name' => 'prime256v1']);
$publicPem = openssl_pkey_get_details($private)['key'];

$token = JWT::encode(['sub' => 'user-42', 'iss' => 'https://auth.example.com', 'exp' => time() + 600], $private, 'ES256');

// The Key object pins the algorithm; leeway is a static setting, 0 by default.
JWT::$leeway = 30;
$claims = JWT::decode($token, new Key($publicPem, 'ES256'));

// php-jwt checks exp/nbf/iat only when present and never checks iss or aud: do it here.
if (!isset($claims->exp) || $claims->iss !== 'https://auth.example.com') {
    throw new UnexpectedValueException('unexpected claims');
}
echo 'sub: ', $claims->sub, "\n";