Yii2用HttpBearerAuth自动验证Bearer Token，需配置user组件、实现findIdentityByAccessToken()并确保Web服务器透传Authorization头，token应安全生成并存于Redis校验有效性。
Yii2里怎么验证HTTP Bearer Token
直接用 yii\filters\auth\HttpBearerAuth 就行，它会自动从 Authorization 请求头里提取 token 并调用你指定的用户查找逻辑。别自己手动解析 header，也别在 controller 里写 $_SERVER['HTTP_AUTHORIZATION'] —— 那样绕过 Yii 的认证流程，后续权限、日志、行为钩子全失效。
常见错误是没配 user 组件或没实现 findIdentityByAccessToken()。这个方法必须存在且返回一个实现了 IdentityInterface 的对象，否则认证永远失败，但错误提示只有 401，没日志也没堆栈。
- 确保
user组件启用了enableSession => false（API 场景下 session 没意义） -
findIdentityByAccessToken($token, $type = null)的$type参数默认是null，但你可以用它区分前端 token / 后台 token - token 值不会被自动清理或校验过期，得你自己在
findIdentityByAccessToken里查数据库或 Redis 判断有效性
为什么请求头取不到 Authorization？Nginx/Apache 转发时丢了
绝大多数 401 不是因为代码写错，而是 Web 服务器把 Authorization 头给过滤了。Apache 默认不转发这个头；Nginx 在反向代理时，除非显式配置，也不会透传。
Apache 下要在虚拟主机或 .htaccess 加：RewriteCond %{HTTP:Authorization} ^(.*)$RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]
Nginx 下要在 location 块里加：proxy_set_header Authorization $http_authorization;proxy_pass_request_headers on;
- 如果用的是 PHP-FPM + Nginx，还要确认
fastcgi_param里有没有漏掉HTTP_AUTHORIZATION - 本地测试用 curl 时，注意大小写：
curl -H "Authorization: Bearer abc123"，authorization全小写可能被某些中间件忽略 - Yii2 实际读的是
$_SERVER['HTTP_AUTHORIZATION']或$_SERVER['REDIRECT_HTTP_AUTHORIZATION']（Apache mod_rewrite 重写后），所以 Web 服务器必须确保至少一个存在
Bearer token 怎么生成和存储才安全
Yii2 不负责发 token，只负责验 token。你得自己在登录接口里生成、返回、存起来。别用时间戳+用户ID拼接这种弱方案，更别存明文 token 到数据库。
- 用
Yii::$app->security->generateRandomString(32)生成高强度随机字符串 - token 值建议存进 Redis，设 TTL（比如 2 小时），key 用
token:{hash}，value 存 user_id + 过期时间 - 如果必须存 DB，至少对 token 做一次 SHA-256 哈希再存，避免泄露原始 token
- 不要把 token 放进 cookie，也不要通过 URL 传 —— Bearer 就该走 header
性能上，每次请求都要查一次 token 有效性。Redis 查 key 是 O(1)，比查 MySQL 快得多；但如果并发极高，可以考虑加一层内存缓存（比如用 yii\caching\ArrayCache 缓存最近验证过的 token，但注意清理机制）。
调试时怎么快速定位 token 验证失败在哪一步
最常卡在两个地方：header 没进来，或者 findIdentityByAccessToken 返回 null。别靠猜，加两行日志就能看清：
Yii::info('Auth header: ' . Yii::$app->request->getHeaders()->get('Authorization'), 'api');Yii::info('Token lookup result: ' . var_export($identity, true), 'api');- 看日志第一条有没有值 —— 没有就是 Web 服务器或客户端问题
- 第二条如果是
null，说明findIdentityByAccessToken没查到，检查 token 是否已过期、是否被删除、SQL/Redis 查询条件有没有写错 - 注意：如果
user组件的class配错了（比如写成'class' => 'app\models\User'却没实现IdentityInterface），整个认证会静默失败，连日志都不打
真正麻烦的是 token 和用户状态耦合太紧 —— 比如用户被禁用、角色变更、权限更新，但 token 还在有效期内。这时候光靠过期时间不够，得在 findIdentityByAccessToken 里额外查用户状态字段，而且这个查询不能拖慢主链路。
