PHP移动端接口Token验证应采用JWT实现无状态鉴权，包含发放、校验、刷新、失效全流程；使用HS256签名、精简payload、服务端Redis存储refresh_token并绑定设备指纹，配合统一中间件、标准错误码与APP友好反馈机制。
PHP设计支持Token验证的移动端APP接口，核心在于安全、无状态、可扩展的用户身份校验机制。关键不是简单生成一个Token，而是构建完整的生命周期管理：发放、校验、刷新、失效与防护。
Token选择与生成策略
推荐使用JWT（JSON Web Token），它自包含、无需服务端存储Session，适合分布式架构。不要用纯随机字符串+数据库查表的方式——性能差且难横向扩展。
- 使用openssl_random_pseudo_bytes或random_bytes生成高强度密钥（如32字节），作为HS256签名密钥
- Payload中只放必要字段：user_id、exp（过期时间）、iat（签发时间）、app_version（可选用于灰度控制）
- 避免在Token里存敏感信息（如手机号、角色权限列表），权限应由后端接口实时校验或通过RBAC缓存判断
- 设置合理过期时间（如2小时），配合refresh_token机制延长登录态（refresh_token需单独存储并绑定设备指纹）
接口层统一鉴权中间件
所有需要认证的API入口前，必须经过Token解析与校验。不要每个接口都重复写验证逻辑。
- 从Authorization请求头读取Bearer Token（格式：Bearer xxxxx），而非URL参数或body传token
- 用firebase/php-jwt库解析并验证签名、exp、nbf等标准声明，捕获ExpiredException等异常统一返回401
- 校验通过后，将$payload['user_id']注入到请求上下文（如Slim的RequestAttribute或Laravel的Auth::setUser()），供后续业务逻辑使用
- 对高危操作（如修改密码、支付）额外校验设备指纹或二次验证码，不单靠Token
Token刷新与安全防护
Token不是一劳永逸，需兼顾用户体验与安全性。短时效Token + 可刷新机制是平衡点。
立即学习“PHP免费学习笔记（深入）”；
- 提供/api/v1/auth/refresh接口：客户端用旧refresh_token换取新access_token，旧refresh_token立即作废
- refresh_token存储在服务端（如Redis），键为refresh:{device_id}:{user_id}，设置过期时间（如7天），并记录最后使用时间
- 每次登录或刷新时更新设备指纹（如结合Android ID / IDFA + App版本 + 网络IP哈希），异常设备触发强制重新登录
- 对高频失败的Token校验请求（如1分钟内5次无效token），启用IP级限流并记录日志，防范暴力探测
移动端适配与错误反馈
接口设计要贴合APP实际场景，错误码和提示需明确，便于前端友好处理。
- 定义清晰HTTP状态码：401（未登录/Token过期）、403（权限不足）、429（请求频繁）、400（Token格式错误）
- 响应体统一结构，含code（业务码，如1001=token_invalid）、message（中文提示）、data（空对象或补充字段）
- 当返回401时，APP应自动跳转登录页，并清空本地Token与敏感缓存；不要静默重试或弹窗“登录已过期”后卡住
- 调试阶段开启Token debug模式（如?debug=1），返回解码后的payload（仅限开发环境）
