本文详解如何为 web 应用与移动应用设计共享的 restful api，重点说明为何应弃用 $_session、采用 jwt 等无状态认证机制，并提供 php 实现要点与工程实践建议。
在现代全栈架构中，将 Web 前端（如 Vue/React）和原生/跨平台移动应用（iOS/Android）统一接入同一套后端 API，不仅是可行的，更是推荐的最佳实践。关键在于：API 必须是无状态（stateless）的——这意味着它不应依赖服务器端会话（如 PHP 的 $_SESSION），因为会话机制天然绑定 HTTP 请求上下文、难以横向扩展、且与移动端长连接/后台唤醒等场景不兼容。
✅ 正确做法：使用 JWT（JSON Web Token）实现统一认证
JWT 是一种自包含、可签名、可选加密的轻量级令牌标准（RFC 7519），非常适合跨平台 API 认证：
- 用户登录成功后，服务端生成 JWT（含用户 ID、角色、过期时间等声明），签名后返回给客户端；
- 客户端（Web 或 App）在后续所有 API 请求的 Authorization: Bearer <token> 头中携带该令牌；
- 服务端每次收到请求时，仅需验证签名与有效期，即可安全提取用户身份，无需查 session 存储或数据库。
示例（PHP + Firebase JWT 库）：
// 登录接口（login.php）
use Firebase\JWT\JWT;
use Firebase\JWT\Key;
$secret = 'your_32_byte_strong_secret';
$payload = [
'user_id' => 123,
'email' => 'user@example.com',
'exp' => time() + 3600, // 1小时有效期
'iat' => time()
];
$token = JWT::encode($payload, $secret, 'HS256');
header('Content-Type: application/json');
echo json_encode(['token' => $token]);// 受保护接口（e.g., /api/chat/messages.php）
$authHeader = $_SERVER['HTTP_AUTHORIZATION'] ?? '';
if (strpos($authHeader, 'Bearer ') !== 0) {
http_response_code(401);
exit(json_encode(['error' => 'Unauthorized']));
}
$token = substr($authHeader, 7);
try {
$decoded = JWT::decode($token, new Key($secret, 'HS256'));
$userId = $decoded->user_id; // ✅ 安全获取当前用户
// 继续业务逻辑：查询聊天记录、发送消息等...
} catch (Exception $e) {
http_response_code(401);
echo json_encode(['error' => 'Invalid or expired token']);
}? 一套 API，服务多端：为什么推荐“统一 API”？
| 维度 | 单一 API（Web + Mobile 共享） | 多套 API（Web API + Mobile API） |
|---|---|---|
| 开发维护成本 | ✅ 逻辑复用率高，Bug 修复一次全端生效 | ❌ 重复开发、同步困难、版本碎片化 |
| 安全一致性 | ✅ 统一鉴权、审计、速率限制策略 | ❌ 易出现安全策略不一致漏洞 |
| 运维与监控 | ✅ 日志、指标、链路追踪集中管理 | ❌ 多端埋点分散，排障复杂 |
| 扩展性 | ✅ 水平扩展无 session 粘性问题 | ❌ 多套 API 增加负载与部署复杂度 |
? 提示：可通过请求头（如 X-Client-Type: web/mobile/ios/android）或 URL 路径前缀（如 /api/v1/）做轻量级路由区分，但核心认证、数据模型、业务逻辑层必须统一。
⚠️ 注意事项与进阶建议
- 令牌存储安全：Web 端建议存于 httpOnly + Secure Cookie（防 XSS）；移动端存于安全密钥库（Android Keystore / iOS Keychain），切勿明文存于 localStorage 或 SharedPreferences。
- 刷新机制：JWT 过期后，应配合短期 refresh_token（存于 HttpOnly Cookie 或安全存储）实现静默续期，提升用户体验。
- 权限细化：JWT 中可嵌入 scope 字段（如 "scope": ["chat:read", "profile:write"]），结合中间件做细粒度 RBAC 控制。
- 避免 Session 回退陷阱：即使 Web v1 使用 $_SESSION，v2 API 层也绝不应混用——保持分层清晰，新老系统通过 API 解耦。
综上，抛弃 $_SESSION，拥抱 JWT 等无状态认证，不仅满足 Web 与移动 App 的共用需求，更是构建高可用、易演进、符合云原生理念的 API 架构基石。
