ThinkPHP8时间窗口授权含四方案：一、本地时间戳试用期，首次运行存install_time，启动时校验是否超30天；二、远程接口校验，携domain/time/sign请求，服务端比对expire_at；三、JWT Token嵌入iat/exp，中间件前置验exp；四、定时任务每2小时续期，不足30分钟自动刷新，三次失败则离线失效。
ThinkPHP8 添加时间窗口授权，核心是结合本地时间校验与远程服务验证，防止离线滥用或时钟篡改。关键不在“加功能”，而在控制执行时机和许可有效期。
一、用时间戳设定本地试用期
适合部署即用、无需联网的轻量场景。在应用首次运行时记录时间，并每次启动检查是否超限：
- 将首次运行时间写入缓存（如 Redis）或配置文件，键名为 xhs:install_time，值为 time()
- 每次请求前读取该时间，计算差值：$used_days = floor((time() - $install_time) / 86400)
- 若 $used_days >= 30（或其他设定阈值），中止执行并提示“试用已到期”
- 注意：必须统一用 time()，禁用 date('U') 或字符串转时间戳，避免精度偏差
二、远程授权接口带时间窗口校验
更安全的方式是每次关键操作前调用授权服务器，由服务端控制时间有效性：
- 本地发起 POST 请求，携带 domain、time()、sign（签名） 等参数
- 远程服务校验签名合法性，并比对当前时间与授权截止时间（如 expire_at > time()）
- 返回 JSON：{"status":"ok","expires_in":172800}（剩余 48 小时）或 {"status":"forbidden","reason":"expired"}
- 本地收到失败响应后，直接抛出异常或跳转授权页，不继续后续逻辑
三、Token 中嵌入时间窗口（适用于 API 场景）
若走 JWT 类 Token 验证流程，可在签发时注入时间约束：
立即学习“PHP免费学习笔记（深入）”；
- 生成 Token 时设置 iat（issued at） 和 exp（expires at），例如 "exp": time() + 3600
- 中间件中先检查 Authorization 头是否存在且格式为 Bearer xxx，再调用 JWT::decode()
- 务必在 decode 前校验 exp 是否过期，避免无效 Token 进入解码环节；非法输入应直接抛 DomainException
- 密钥必须从配置文件读取，禁止硬编码，且确保无空格、BOM、换行
四、定时任务配合自动续期
对长期运行的授权系统，可借助定时任务静默刷新许可状态：
- 用 think-cron 或 http-crontab 设置每 2 小时检查一次授权有效期
- 若剩余时间不足 30 分钟，自动调用远程接口尝试刷新 access_token 或延长 expire_at
- 刷新成功则更新本地缓存；连续三次失败则标记为“离线失效”，限制核心功能使用
