必须用正则限定{service}为2–20位小写字母，并在控制器中白名单校验，避免将版本号或ID误判为服务名。
如何提取 service 名并避免路由误匹配
网关路由必须从路径第一段准确识别服务名，否则会把 /v1/orders/123 里的 v1 当成服务，或把 /order/123 中的 123（ID）误判为服务。关键不是“能匹配”，而是“只匹配合法服务名”。
正确做法是用正则严格限定 {service} 只接受小写字母且长度 2–20，同时在控制器里做白名单校验：
-
Route::any('{service}/{endpoint?}', [GatewayController::class, 'forward'])后加->where('service', '[a-z]{2,20}') - 控制器中先查预设白名单：
if (!in_array($request->route('service'), ['auth', 'order', 'product', 'payment'])) { return response('', 404); } - 不依赖
explode('/', $request->path())手动切分——$request->route('service')更安全，不受开头斜杠、重复斜杠影响
JWT 透传时为什么不能在网关解析再重签
网关解析 JWT 后再用自己的密钥重签，看似“可控”，实则引入三重风险：签名密钥泄露面扩大、下游服务无法验证原始签发者、scope/roles 等 claims 易被篡改或丢失。Passport 签发的 Token 是由 User 服务单点权威签发的，网关只需信任它。
透传的正确姿势是原样转发 Authorization: Bearer xxx，不做任何 decode → modify → encode 流程：
- 网关只做签名和过期校验（用
firebase/php-jwt的JWT::decode()+new Key(config('jwt.secret'), 'HS256')） - 校验通过后，把原始 Token 塞进下游请求头：
headers['Authorization'] = 'Bearer ' . $request->bearerToken() - 下游服务（如
OrderService）自行解析同一份 Token，直接读取scope或rolesclaim 做授权，不查库
微服务地址配置为什么不能写死在代码里
硬编码 http://order-service:8000 在控制器里，会导致测试环境连不上 Docker Compose 网络、生产环境无法对接 Consul 服务发现、灰度发布时无法按标签路由。环境隔离和动态扩缩容的前提是地址解耦。
推荐两级配置策略：
- 基础层走
.env：定义ORDER_SERVICE_URL=http://order-service.default.svc.cluster.local:8000（K8s）或ORDER_SERVICE_URL=http://localhost:8001（本地） - 增强层用配置中心：Laravel 配置文件中写
'order' => env('ORDER_SERVICE_URL')，运行时通过config("services.order")获取 - 若集成 Consul，用
stechstudio/laravel-consul的Consul::service('order')拉取健康实例，配合 Guzzle 的handler自定义重试逻辑
为什么网关不能用 PHP-FPM 而推荐 Octane
FPM 模式下每个请求独占一个进程，网关转发时需同步等待下游响应；一旦 OrderService 延迟 3 秒，该 FPM 进程就卡住 3 秒，连接池迅速耗尽，后续请求全掉 502 Bad Gateway。这不是超时设置能解决的架构问题。
Octane（Swoole/RoadRunner）用协程实现非阻塞代理，关键差异在连接复用与超时控制：
- 用
Http::timeout(5)->connectTimeout(2)显式设下游超时，失败立即释放协程，不阻塞其他请求 - 启用 HTTP keep-alive，复用到下游服务的 TCP 连接，减少三次握手开销
- Octane 配置中必须开启
proxy相关中间件，否则X-Forwarded-For、X-Request-ID等头可能丢失
真正容易被忽略的是：哪怕用了 Octane，所有 Http::get() 调用仍必须带 timeout 和 connectTimeout，否则一个慢服务仍会拖垮整个网关的协程调度器。
