PHP 8.1 中 PHP_AUTH_USER 为空的直接原因是 Web 服务器（Apache/Nginx）未将 HTTP Basic 认证头透传给 PHP-FPM；需分别配置 Apache 的 CGIPassAuth 和 RewriteRule，或 Nginx 的 fastcgi_param HTTP_AUTHORIZATION，再通过解析 $_SERVER['HTTP_AUTHORIZATION'] 获取凭证。
PHP 8.1 中 PHP_AUTH_USER 为什么为空？
直接原因：Apache 或 Nginx 默认不把 HTTP Basic 认证头传递给 PHP-FPM（尤其是 FastCGI 模式）。$_SERVER['PHP_AUTH_USER'] 在 PHP 8.1 中依然存在，但多数情况下是空的——不是 PHP 废弃了它，而是 Web 服务器没转发认证信息。
Apache 下启用 PHP_AUTH_USER 的关键配置
必须在虚拟主机或 .htaccess 中显式启用环境变量透传：
RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]同时确保 mod_rewrite 已启用，并在 PHP 脚本中改用以下方式读取：
-
$_SERVER['HTTP_AUTHORIZATION']是原始头（如Basic dXNlcjpwYXNz），需 base64 解码后拆分 - 或更稳妥地检查：
isset($_SERVER['PHP_AUTH_USER']) ? $_SERVER['PHP_AUTH_USER'] : null—— 仅当 Apache 配置了CGIPassAuth On且运行在 CGI 模式时才可靠 - PHP 8.1 不再支持旧版
apache_request_headers()在 CLI 或 FPM 下返回 Authorization 头，别依赖它
Nginx + PHP-FPM 场景下必须加的 fastcgi_param
Nginx 默认剥离所有带下划线的 header，Authorization 正好被过滤。必须在 location ~ \.php$ 块内添加：
立即学习“PHP免费学习笔记（深入）”；
fastcgi_param HTTP_AUTHORIZATION $http_authorization;
否则 $_SERVER['HTTP_AUTHORIZATION'] 一定为空。顺带确认：
- PHP-FPM 的
security.limit_extensions允许.php - 没有启用
fastcgi_pass_request_headers off（已废弃，但某些旧配置残留） - 使用
var_dump($_SERVER)现场验证HTTP_AUTHORIZATION是否出现
手动解析 Authorization 头的最小安全实践
别假设 PHP_AUTH_USER 一定可用，统一走解析逻辑更可靠：
$auth = $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] ?? '';
if (str_starts_with($auth, 'Basic ')) {
$cred = base64_decode(substr($auth, 6));
[$user, $pass] = explode(':', $cred, 2) ?: ['', ''];
// 后续校验 $user / $pass，勿直接信任
}注意点：
-
REDIRECT_HTTP_AUTHORIZATION是 Apache + mod_rewrite 重写后可能出现的备用键名 - 必须用
str_starts_with()（PHP 8.0+），不要用strpos($auth, 'Basic ') === 0，避免空字符串误判 - 永远对
$user和$pass做白名单校验或哈希比对，绝不拼接进 SQL 或命令
最易忽略的是 Web 服务器层的透传配置——写再多 PHP 逻辑，头没进来，PHP_AUTH_USER 就永远是空的。
