PHP客户端连接WebSocket时需通过Sec-WebSocket-Protocol或自定义Header（如Authorization）传token，URL带参仅当服务端明确支持；须手动解析握手响应状态码判断401等鉴权失败；重连前应清空旧socket资源并监听close帧code实现token刷新。
PHP 客户端连接 WebSocket 时无法传 token 怎么办
WebSocket 协议本身不支持在握手阶段像 HTTP 那样直接带 Authorization 头或 Cookie（除非服务端显式支持并解析），PHP 原生 fsockopen 或 stream_socket_client 发起连接时，只能手动构造 HTTP 握手请求。常见错误是直接在 URL 后拼 ?token=xxx，但很多 WebSocket 服务端（如 Workerman、Swoole、ws:// 代理）默认不解析 query string 做鉴权。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
- 优先用
Sec-WebSocket-Protocol或自定义 header（如Authorization）传 token——需服务端配合解析； - 若服务端支持，URL 中带
?token=xxx是最简方式，但必须确认服务端是否从$_GET或$request->get['token']取值； - 避免把敏感 token 放在 URL 中，易被日志、代理、浏览器历史泄露；
- 使用 TLS（
wss://）加密传输，否则明文 token 会被中间人截获。
用 Ratchet / ReactPHP 连接时怎么在 onOpen 前完成鉴权
Ratchet 的 onOpen 是连接建立后才触发的，此时已错过握手阶段。ReactPHP 的 WebSocketClient 同理——它不暴露握手请求对象，无法插入 header。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- Ratchet 客户端不可用于生产鉴权场景，它本质是服务端框架；真正要用 PHP 做客户端，请选
textalk/websocket或goranxu/ws-client这类可定制握手的库； -
textalk/websocket允许传headers数组：$client = new WebSocket("wss://api.example.com", ["Authorization" => "Bearer xxxxx"])； - 若必须用原生 stream，需手动写 handshake 请求，重点设置
Upgrade: websocket、Sec-WebSocket-Key和自定义 header，并读取响应状态码和Sec-WebSocket-Accept； - 服务端返回
401或关闭连接时，PHP 客户端要检查stream_get_meta_data($fp)中的timed_out或eof状态，不能只靠是否连上判断成功。
鉴权失败时 WebSocket 服务端返回 401，PHP 客户端怎么捕获
标准 WebSocket 握手响应是 HTTP/1.1 报文，但 PHP 的 stream_socket_client 默认不返回状态码，只会返回 socket 资源或 false。你看到的 “连接成功” 可能只是 TCP 握手通了，HTTP 层已被服务端拒绝。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 用
stream_socket_client后，立即调用fgets($fp, 1024)读第一行响应，检查是否为"HTTP/1.1 101"； - 如果读到
"HTTP/1.1 401"或"HTTP/1.1 403"，说明鉴权失败，应fclose($fp)并抛出异常； - 某些服务端（如 Nginx + WebSocket proxy）会静默关闭连接而不发 HTTP 错误响应，此时需设
stream_set_timeout($fp, 5)并监听feof()或!is_resource($fp)； - 不要依赖
error_get_last()，它通常为空——WebSocket 握手失败不触发 PHP warning。
Token 过期或被撤回后，PHP 客户端怎么主动重连并刷新凭证
WebSocket 是长连接，不像 HTTP 每次请求都能重新签发 token。一旦连接中 token 失效，服务端通常会发 close 帧（code 4001 或自定义）或直接断连，但 PHP 客户端若没监听 onClose 或没实现心跳，就会卡在无效连接里。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 服务端应在 close 帧中带明确 code（如
4001表示认证过期），PHP 客户端解析 close payload 前 2 字节获取 code； - 用
pcntl_fork或proc_open启动子进程轮询 token 有效期，避免主连接线程阻塞； - 重连前必须清空旧 socket 资源，否则
stream_socket_client可能复用底层 fd 导致“假连接”； - 别在重连逻辑里硬编码 token 刷新接口，应抽象成回调函数，方便对接 OAuth2 或 JWT 自动续期服务。
Authorization、不校验 Origin、或强制要求 Cookie 而非 token。PHP 客户端写的再严谨，服务端没配对，一切白搭。 
