ThinkPHP6 不内置 OAuth2 授权服务器功能，应作为客户端安全对接外部授权中心；需校验 redirect_uri、client_id/client_secret 配置合法性，并在回调中严格验证 state、HTTPS 及 JWT 签名等。
ThinkPHP6 本身不内置 OAuth2 授权服务器功能，添加“授权配置校验”不是配个文件就能生效的事——关键在于明确你扮演的角色：是作为 OAuth2 客户端（比如对接微信、抖音、GitHub）？还是想在本系统内实现类似权限中心的 认证服务端？两者配置逻辑完全不同。绝大多数业务场景下，你只需正确充当客户端，严格校验外部授权服务返回的数据即可。
确认角色：你不是授权方，而是调用方
ThinkPHP6 不适合、也不应自建 OAuth2 授权服务器（如 /authorize、/token 接口）。这样做既违反 SSO 设计原则，又极易引入安全漏洞（如 client_secret 泄露、state 重放、redirect_uri 劫持）。正确路径是：让统一授权中心（如 Authing、Keycloak 或微信开放平台）负责发 token，ThinkPHP 只做四件事：拼对 authorize URL、安全接收 code、服务端换 token、校验并解析 access_token（推荐 JWT）。
因此，“授权配置校验”的核心其实是：校验你作为客户端所依赖的外部配置是否合法、完整、未被篡改。
必须校验的三项基础配置
以下配置项若缺失或错误，授权流程必然中断或存在风险，应在发起请求前主动检查：
立即学习“PHP免费学习笔记（深入）”；
-
redirect_uri 必须绝对匹配：必须与授权平台后台填写的值完全一致——协议（https）、域名、端口、路径、末尾斜杠，一个字符都不能差。ThinkPHP 中建议用
url()动态生成，避免硬编码；调试时可用var_dump(url('callback'))对比后台配置。 -
client_id 和 client_secret 不可明文暴露：不能写死在控制器或前端 JS 中。应存于
config/oauth.php并设为仅服务端可读，生产环境禁用.env文件直接提交到 Git。 -
HTTPS 强制启用：所有 redirect_uri 必须是 https。非 HTTPS 环境下微信、抖音等平台会直接拒绝授权请求。本地开发可用 ngrok 或 Valet 搭配有效证书，禁用 cURL 的 SSL 验证（
verify => false）仅限测试，上线前必须移除。
回调环节的强制校验动作
用户授权后跳回你的 callback 路由，此时绝不能直接拿 code 去换 token。必须立刻执行三步校验：
- 检查
$_GET['state']是否存在，且与你之前存入$_SESSION['oauth_state']的值完全相等（用===），不等则立即终止并返回 400； - 校验通过后立刻
unset($_SESSION['oauth_state'])，防止一次 state 多次使用； - 换 token 的 POST 请求必须由服务端发起（用 Guzzle），
Content-Type: application/x-www-form-urlencoded，参数用http_build_query()编码，严禁前端 JS 直接调用 token 接口。
Token 解析后的可信校验（尤其 JWT）
若授权中心返回的是 JWT 格式的 access_token（如 Authing、Keycloak），不能只 JWT::decode() 就信任 payload。必须验证：
-
iss（签发者）是否为你信任的授权中心域名； -
aud（受众）是否包含你当前系统的 client_id； -
exp（过期时间）是否未过期（time() exp）； - 签名是否由你预置的公钥（或 secret）正确验证，推荐使用
firebase/php-jwt，勿手写 base64 解码。
