零信任未落实因用户可绕过身份校验，须强制每次请求实时校验JWT、剥离SESSION/Cookie依赖、敏感操作二次验证、网关与业务层双校验、用register_shutdown_function兜底鉴权。
如果在PHP项目中部署零信任网络，但用户仍可绕过身份校验直接访问敏感接口，则说明当前架构未落实“每次请求都验证”的核心原则。以下是实施严格身份认证与访问控制的具体方法：
一、强制每次请求实时解析并校验JWT
该方法确保服务端不缓存、不跳过、不依赖客户端任意字段，所有API入口均执行完整JWT验证链。必须显式指定签名算法、校验时间戳、动态比对权限范围。
1、在中间件或路由前置钩子中调用JWT解析函数，传入algorithms=["RS256"]参数，禁用none算法以防止无签名令牌伪造。
2、使用time()获取服务端当前时间，校验exp（过期时间）与nbf（生效时间），拒绝任何客户端传入的iat或exp字段参与判断。
立即学习“PHP免费学习笔记（深入）”；
3、从JWT载荷中提取scope或permissions数组，与当前接口所需权限字符串精确匹配，例如访问/delete/user必须要求token含delete:user而非仅read:user。
二、剥离对$_SESSION与$_COOKIE的权限依赖
该方法消除传统会话机制带来的信任泄露风险，将权限决策完全收归至每次请求的实时上下文，杜绝session ID重放或cookie篡改导致的越权。
1、删除所有基于$_SESSION['role']或$_SESSION['user_id']的权限分支逻辑，禁止在控制器中直接读取$_SESSION做RBAC判断。
2、若需临时存储已验证上下文，仅允许写入经JWT/mTLS确认后的只读字段（如$_SESSION['verified_device_id']），且设置生命周期为ini_set('session.gc_maxlifetime', 300)。
3、彻底移除对$_COOKIE['role']、$_COOKIE['permissions']等字段的读取操作，所有权限字段必须源自可信令牌载荷，不得由客户端注入。
三、敏感操作实施二次验证机制
该方法针对高危动作（如数据导出、密码重置、权限提升）增加额外信任层，确保操作发起者处于强认证上下文中，防止令牌长期有效引发的风险扩散。
1、在执行/api/v1/export/financial等接口前，重新调用JWT解析流程，提取acr（Authentication Context Class Reference）字段值。
2、校验acr >= 2，仅当令牌包含MFA认证上下文时才允许执行导出操作。
3、对提权类操作（如将普通用户设为管理员），强制要求用户再次输入OTP或触发生物识别回调，不接受已有token的静默授权。
四、API网关层与业务层双点校验
该方法避免因路由配置疏漏（如->withoutMiddleware()）或框架快捷方式（如Auth::user()）导致鉴权断链，确保权限检查紧贴数据访问入口。
1、在Nginx或API网关（如Kong）配置JWT验证插件，对所有/api/**路径执行基础token有效性检查，并透传sub、scope至后端Header。
2、在业务逻辑层（如Laravel模型查询前），再次校验当前JWT中sub是否与请求URL中的资源ID匹配，例如User::find($id)前必须确认$token['sub'] === (string)$id。
3、对文件下载接口，除校验token外，强制校验scope含download:report，且文件路径须经白名单过滤，拒绝任何包含../路径遍历字符的请求。
五、使用register_shutdown_function()实现鉴权兜底
该方法作为最后一道防线，在PHP请求生命周期结束前强制检查是否已完成必要鉴权动作，防止因异常退出或逻辑遗漏导致未授权访问。
1、在入口文件（如public/index.php）顶部注册关闭函数：register_shutdown_function(function () { if (!isset($_SERVER['X-Auth-Verified'])) { http_response_code(401); exit(json_encode(['error' => 'Unauthorized: missing auth verification'])); } });
2、在完成JWT全流程校验后，立即设置$_SERVER['X-Auth-Verified'] = true，该标记必须在权限决策完成后、业务逻辑开始前写入。
3、若请求因未捕获异常、超时或exit()提前终止，且该标记未被置为true，则自动触发401响应，确保零信任验证不可被逻辑跳过。
