PHP文生图接口鉴权本质是标准Token校验，但需特别处理Authorization头透传、JWT密钥/算法严格一致、中间件不阻塞长请求、权限字段预置于Payload四点，任一缺失均导致线上失效。
PHP文生图接口（如调用Stable Diffusion API、DALL·E代理层或自建图像生成服务）的鉴权，本质仍是标准Token校验流程，但需特别注意图像请求的特殊性：大payload、长耗时、流式响应。直接套用普通API鉴权逻辑容易在中间件超时、Header丢失、或二进制响应干扰中翻车。
Authorization头拿不到Token？检查Web服务器是否透传
文生图接口常被Nginx反代，而Nginx默认不传递Authorization头给后端PHP（尤其FastCGI模式）。现象是$_SERVER['HTTP_AUTHORIZATION']为空，getallheaders()也返回空数组。
- Apache需确认
mod_rewrite启用，且.htaccess中含RewriteRule ^(.*)$ index.php [QSA,L]；若用apache_request_headers()，还需开启enable_post_data_reading Off（仅限调试） - Nginx必须显式配置：
fastcgi_pass_request_headers on;，并在location块中加proxy_set_header Authorization $http_authorization; - PHP内置服务器（
php -S）完全不解析Authorization头，开发阶段务必改用Nginx或Caddy
JWT decode报错“Signature verification failed”？密钥或算法不匹配
文生图接口多用JWT做短期Token（如30分钟），但Firebase\JWT\JWT::decode()失败时，90%不是签名真错了，而是密钥/算法没对齐。
- 确认
JWT::encode()和JWT::decode()用的密钥完全一致——不能是硬编码字符串，应从config('jwt.secret')或$_ENV['JWT_SECRET']加载，避免环境差异 - 检查算法参数：生成时用
'HS256'，解码时new \Firebase\JWT\Key($key, 'HS256')必须严格对应，大小写敏感 - Token若经Base64Url解码后含非UTF-8字节（如图像生成任务里混入二进制元数据），
json_decode会静默失败，导致signature计算异常；可在JWT::decode()前加base64url_decode($tokenParts[1])手动验证payload可解码性
Token校验通过但图像生成失败？别让中间件阻塞长请求
文生图接口常需5–60秒完成，而默认PHP-FPM或Nginx超时设置（如fastcgi_read_timeout 60）可能在校验后触发中断，导致前端收不到图片流。
立即学习“PHP免费学习笔记（深入）”；
- 中间件内禁止调用
sleep()、usleep()或任何同步阻塞操作；Token校验本身应 - 确保校验逻辑在
handle()开头就return响应，不要等后续控制器执行完才校验（常见于TP6/Laravel中间件注册顺序错误） - 若使用Swoole协程，
Co::sleep()不影响其他请求，但JWT库若非协程安全（如旧版firebase/php-jwt），需加go(function(){...})隔离
如何验证Token携带的权限是否允许生成特定图像？
单纯校验Token有效性不够，文生图需细粒度控制：比如限制NSFW内容、分辨率、模型版本。这些信息应提前写入JWT的payload，而非查数据库。
- 登录/获取Token时，从用户权限表查出
['models' => ['sd15', 'sdxl'], 'max_res' => 1024, 'nsfw_allowed' => false]，直接塞进$payload - 中间件解码后，用
$decoded->models比对请求体中的model字段，不匹配立即return response(403) - 避免在每次请求时查Redis或DB判断权限——JWT的无状态优势就废了；过期时间设短（如30分钟），靠刷新机制更新权限
文生图接口的Token鉴权，难点不在JWT本身，而在它与大文件、长耗时、流式响应的耦合。Header透传、密钥一致性、中间件执行时机、权限字段预置——这四点漏掉任一，都会让看似正确的代码在线上突然失效。
