php接口鉴权核心是通过Token验证确保请求合法性，常用方法包括JWT和自定义Token。1. 用户登录后服务器生成Token并返回；2. 客户端后续请求在Header中携带Token（如Authorization: Bearer <token>）；3. 服务器解析验证Token。JWT基于标准RFC 7519，使用firebase/php-jwt库生成和解码，包含iss、aud、iat、exp等声明，支持分布式系统。自定义Token则将随机字符串存入数据库或redis，便于控制生命周期和实现注销。安全实践包括：使用httpS、合理设置过期时间、避免URL传Token、秘钥从配置加载、定期清理过期Token。小项目可用数据库存储Token，中大型系统推荐JWT结合redis提升性能与灵活性。
PHP接口鉴权的核心是确保请求来自合法用户或客户端。常用的方式是通过Token验证，防止未授权访问。下面介绍几种常见的PHP接口鉴权方法及Token验证的实现方式。
1. 基于Token的身份验证流程
Token机制通常在用户登录成功后生成一个唯一的令牌（Token），后续请求需携带该Token进行身份识别。
基本流程如下：
- 用户提交账号密码进行登录
- 服务器验证通过后生成Token（如JWT、自定义字符串）
- 将Token返回给客户端（一般放在响应体或Header中）
- 客户端在后续请求的Header中携带Token（如 Authorization: Bearer zuojiankuohaophpcntoken>）
- 服务器接收到请求后解析并验证Token合法性
2. 使用JWT实现Token生成与验证
JWT（jsON Web Token）是一种开放标准（RFC 7519），适合分布式系统中的鉴权场景。
立即学习“PHP免费学习笔记（深入）”；
安装JWT库（推荐使用firebase/php-jwt）：
composer require firebase/php-jwt
生成Token示例：
$payload = [ ‘iss’ => ‘http://your-api.com’, ‘aud’ => ‘http://your-app.com’, ‘iat’ => time(), ‘exp’ => time() + 3600, // 1小时过期 ‘uid’ => 123, ‘username’ => ‘testuser’ ]; $key = “your_secret_key”; // 秘钥应存于配置文件中 $token = FirebaseJWTJWT::encode($payload, $key, ‘HS256’); echo json_encode([‘token’ => $token]);
验证Token示例：
$headers = apache_request_headers(); if (!isset($headers[‘Authorization’])) { die(json_encode([‘code’ => 401, ‘msg’ => ‘缺少Token’])); } $auth = $headers[‘Authorization’]; list(, $token) = explode(‘ ‘, $token); // Bearer <token> try { $decoded = FirebaseJWTJWT::decode($token, new FirebaseJWTKey($key, ‘HS256’)); // Token有效，继续处理业务逻辑 } catch (Exception $e) { http_response_code(401); echo json_encode([‘code’ => 401, ‘msg’ => ‘Token无效或已过期’]); exit; }
3. 自定义Token存储验证（基于数据库或缓存）
适用于需要灵活控制Token生命周期的场景，比如支持主动注销Token。
实现思路：
- 用户登录成功后，生成随机字符串作为Token（如sha1(uniqid())）
- 将Token与用户ID、过期时间等信息存入数据库或Redis
- 返回Token给客户端
- 每次请求时从Header读取Token，查询数据库/缓存是否有效
- 可设置自动清理过期Token任务
示例代码片段：
function generateToken($userId) { $token = sha1(uniqid(mt_rand(), true)); $expire = time() + 7200; // 2小时有效 // 存入数据库或Redis $stmt = $pdo->prepare(“INSERT INTO tokens (user_id, token, expire_time) VALUES (?, ?, ?)”); $stmt->execute([$userId, $token, $expire]); return $token; } function validateToken($token) { $stmt = $pdo->prepare(“select user_id FROM tokens WHERE token = ? AND expire_time > ?”); $stmt->execute([$token, time()]); $row = $stmt->fetch(); return $row ? $row[‘user_id’] : false; }
4. 安全建议与最佳实践
为保证接口安全，应注意以下几点：
- 使用https传输，避免Token被窃听
- Token设置合理过期时间，必要时支持刷新机制
- 敏感操作建议增加二次验证（如短信验证码）
- 避免在URL中传递Token，优先使用Authorization Header
- 定期清理过期Token，减少数据库负担
- 秘钥（secret key）不要硬编码，应从环境变量或配置文件加载
基本上就这些。选择哪种方式取决于项目规模和安全需求。小项目可用自定义Token+数据库，中大型系统推荐JWT+Redis结合使用，兼顾性能与灵活性。