ThinkPHP前后端分离中Token通过Authorization头（Bearer格式）传递，前端用Axios注入、后端用$request->header('authorization')提取并截取，中间件统一校验JWT，CORS需配置allow_headers含Authorization且allow_credentials设为false。
ThinkPHP前后端分离中，请求头携带 Token 主要用于无状态认证（如 JWT），关键不是“加个 header 就完事”，而是前后端协同配合：前端正确发送、后端能稳定读取、中间件统一校验。配置分三块——前端发、后端收、中间件验。
前端怎么发 Token（以 Axios 为例）
Token 通常存在 localStorage 或 sessionStorage 中，每次请求需手动注入 Authorization 头：
- 推荐格式：Authorization: Bearer xxxxx（JWT 标准写法，ThinkPHP 默认识别此格式）
- Axios 全局设置示例：axios.defaults.headers.common['Authorization'] = 'Bearer ' + localStorage.getItem('token');
- 若用自定义 Header（如 Token: xxx），需在 CORS 配置中显式声明：
'allow_headers' => ['Content-Type', 'Authorization', 'Token'] - 注意：不用
withCredentials: true（除非你还依赖 Cookie；JWT 场景下应关闭凭据，避免冲突）
后端怎么读 Token
ThinkPHP 不自动解析 Authorization 头，必须手动提取：
- 在控制器或中间件中，用 $this->request->header('authorization') 获取完整值（如
Bearer eyJhbGciOi...） - 再做字符串截取：
str_replace('Bearer ', '', $auth)得到纯 token 字符串 - 别用
$_SERVER['HTTP_AUTHORIZATION']—— 在某些 Web 服务器（如 Apache）下可能被过滤，$this->request->header()更可靠 - 如果前端用了其他字段名（如
X-Token），就用$this->request->header('x-token')
中间件统一验证 Token
把校验逻辑抽成中间件，避免每个接口重复写：
立即学习“PHP免费学习笔记（深入）”；
- 创建中间件：
php think make:middleware AuthTokenMiddleware - 在
handle()方法里：提取 token → 解码 JWT → 验证签发者、过期时间、签名 → 查用户信息 → 绑定到 Request 对象（如$request->userInfo = $user） - 验证失败直接返回 JSON 错误：
return json(['code' => 401, 'msg' => '登录已过期'])->code(401); - 路由注册时绑定：
Route::get('user/profile', 'User/profile')->middleware('AuthTokenMiddleware');
CORS 必须同步适配
Token 发送依赖跨域支持，否则预检（OPTIONS）就卡住：
- 确保
think-cors已安装并启用，config/cors.php中包含：'allow_headers' => ['Content-Type', 'Authorization'] -
'allow_credentials' => false（JWT 场景下禁用凭据，否则Origin不能为*，且和 Bearer 冲突） - 生产环境
'origin'必须写死前端域名，例如['https://your-vue-app.com']
