ThinkPHP如何做APP端Token自动续期_滑动过期时间刷新机制【教程】-ThinkPHP-PHP中文网

token续期不能只靠exp过期判断，因app活跃用户可能被误登出；应采用滑动过期机制，在认证中间件中验证后、业务前按窗口重置iat/exp，并通过redis原子操作安全存储，app端无需响应头自动更新。

thinkphp如何做app端token自动续期_滑动过期时间刷新机制【教程】

Token续期为什么不能只靠过期时间判断

ThinkPHP 默认的 jwt 或 think-auth 类 Token 验证，往往只检查 exp 字段是否过期，一旦过期就直接拒绝请求。但 APP 场景下用户可能一直在前台活跃（比如刷列表、发评论），却因 Token 过期被强制登出——这不是体验问题，是设计缺陷。

滑动过期（Sliding Expiration）的核心逻辑是：只要用户在有效期内发起合法请求，就延长 Token 的过期时间，但不是无限制延，而是重置为「当前时间 + 固定有效期」。

关键点在于：续期动作必须发生在每次认证通过后、业务逻辑执行前，且不能暴露新 Token 给前端除非必要；否则会引发并发续期、重复响应头污染等问题。

如何在 ThinkPHP 中间件里安全续期 Token

推荐在全局认证中间件（如 app/middleware/AuthToken.php）中实现续期逻辑，避免分散在每个控制器里重复写。

先调用 $this->auth->check() 验证原始 Token 是否合法且未过期（注意：这里要允许「将过期」的 Token 仍视为有效，比如剩余 300 秒内）
验证通过后，读取当前 Token 的 payload，提取 iat（签发时间）和原始 exp
若当前时间距离 exp 小于预设滑动窗口（如 600 秒），则生成新 Token，保留原 uid、type 等字段，仅更新 iat 和 exp
新 Token 不主动返回给前端——除非本次请求明确需要（如接口文档约定 X-Auth-Token 响应头用于自动刷新）；否则仅服务端内部刷新 session 缓存或 Redis 中的 token 状态即可

示例片段（基于 firebase/php-jwt）：

$payload = $this->auth->getPayload();
$now = time();
$exp = $payload['exp'];
if ($exp - $now  $now,
        'exp' => $now + 7200 // 2小时有效期
    ]);
    $newToken = JWT::encode($newPayload, config('jwt.secret'), 'HS256');
    // 写入 Redis：key=token:{$oldTokenHash}, value=$newToken, expire=7200+300（留缓冲）
}

Redis 存储 Token 状态时的三个坑

单纯靠 JWT 自包含无法支持主动吊销或滑动刷新，必须配合服务端状态存储。用 Redis 是最常见选择，但容易踩错：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

key 设计别用原始 Token 做键名——太长且含特殊字符，建议用 sha256($token) 或 base64(urlencode($token)) 作 key
不要给每个 Token 单独设 EXPIRE，而应在生成新 Token 时，用 SETEX 设置带过期的值，且过期时间略长于 JWT 的 exp（比如多 300 秒），防止因系统时间偏差导致提前失效
续期时必须原子性操作：先 GET 原 Token 对应的新 Token，再 SETEX 新值，避免并发请求写入不同版本；可考虑用 Lua 脚本封装