如何在PHP 8.1中开启HTTP身份验证_使用PHP_AUTH

PHP 8.1 中 PHP_AUTH_USER 为空的直接原因是 Web 服务器（Apache/Nginx）未将 HTTP Basic 认证头透传给 PHP-FPM；需分别配置 Apache 的 CGIPassAuth 和 RewriteRule，或 Nginx 的 fastcgi_param HTTP_AUTHORIZATION，再通过解析 $_SERVER['HTTP_AUTHORIZATION'] 获取凭证。

如何在php 8.1中开启http身份验证_使用php_auth_user变量

PHP 8.1 中 `PHP_AUTH_USER` 为什么为空？

直接原因：Apache 或 Nginx 默认不把 HTTP Basic 认证头传递给 PHP-FPM（尤其是 FastCGI 模式）。$_SERVER['PHP_AUTH_USER'] 在 PHP 8.1 中依然存在，但多数情况下是空的——不是 PHP 废弃了它，而是 Web 服务器没转发认证信息。

Apache 下启用 `PHP_AUTH_USER` 的关键配置

必须在虚拟主机或 .htaccess 中显式启用环境变量透传：

RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]

同时确保 mod_rewrite 已启用，并在 PHP 脚本中改用以下方式读取：

$_SERVER['HTTP_AUTHORIZATION'] 是原始头（如 Basic dXNlcjpwYXNz），需 base64 解码后拆分
或更稳妥地检查：isset($_SERVER['PHP_AUTH_USER']) ? $_SERVER['PHP_AUTH_USER'] : null —— 仅当 Apache 配置了 CGIPassAuth On 且运行在 CGI 模式时才可靠
PHP 8.1 不再支持旧版 apache_request_headers() 在 CLI 或 FPM 下返回 Authorization 头，别依赖它

Nginx + PHP-FPM 场景下必须加的 fastcgi_param

Nginx 默认剥离所有带下划线的 header，Authorization 正好被过滤。必须在 location ~ \.php$ 块内添加：

fastcgi_param HTTP_AUTHORIZATION $http_authorization;

否则 $_SERVER['HTTP_AUTHORIZATION'] 一定为空。顺带确认：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

PHP-FPM 的 security.limit_extensions 允许 .php
没有启用 fastcgi_pass_request_headers off（已废弃，但某些旧配置残留）
使用 var_dump($_SERVER) 现场验证 HTTP_AUTHORIZATION 是否出现

手动解析 Authorization 头的最小安全实践

别假设 PHP_AUTH_USER 一定可用，统一走解析逻辑更可靠：

$auth = $_SERVER['HTTP_AUTHORIZATION'] ?? $_SERVER['REDIRECT_HTTP_AUTHORIZATION'] ?? '';
if (str_starts_with($auth, 'Basic ')) {
    $cred = base64_decode(substr($auth, 6));
    [$user, $pass] = explode(':', $cred, 2) ?: ['', ''];
    // 后续校验 $user / $pass，勿直接信任
}

注意点：