ThinkPHP5如何配置API密钥_ThinkPHP5配置API密钥验证【安全】-ThinkPHP-PHP中文网

thinkphp5不内置api密钥认证，需手动在控制器或中间件中校验x-api-key请求头，生产环境应查缓存/数据库并强制https传输。

thinkphp5如何配置api密钥_thinkphp5配置api密钥验证【安全】

ThinkPHP5 本身不内置「API密钥（API Key）」认证机制，captcha 是验证码、token 是会话凭证，二者都不等价于服务端校验的 API Key。若你希望在 API 接口层强制校验客户端携带的固定密钥（比如 X-API-Key: abc123），必须手动实现中间件或全局过滤逻辑——这不是配置开关能打开的功能。

如何在控制器中手动校验 API Key

最轻量、可控性最强的做法是直接在需要保护的接口方法开头做判断。适合少量核心接口，或快速验证场景。

从请求头读取 X-API-Key：使用 input('server.HTTP_X_API_KEY') 或 request()->header('x-api-key')
硬编码比对（仅开发/测试）：if (input('server.HTTP_X_API_KEY') !== 'your_secret_key') { return json(['code'=>401, 'msg'=>'Invalid API Key']); }
生产环境建议查数据库或缓存：Cache::get('api_key:'.$key)，支持动态启停、限流、绑定 IP 等扩展
注意大小写：HTTP 头字段名会被转为大写加下划线，X-Api-Key 实际对应 HTTP_X_API_KEY

用中间件统一拦截所有 API 路由

如果你的 API 全部走 v1/xxx 这类前缀路由，推荐用中间件集中处理，避免每个控制器重复写校验逻辑。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

生成中间件：php think make:middleware CheckApiKey
在 handle() 中获取并校验 key，失败直接 return json(...)->code(401)
注册到路由分组：Route::group('v1', ['middleware' => 'CheckApiKey'], function () { ... });
注意中间件执行顺序：若同时用了 CORS、JWT 等其他中间件，CheckApiKey 应放在靠前位置，避免被绕过

为什么不能只靠 config.php 配置 API Key

TP5 的 config/captcha.php 或 config/app.php 里没有 api_key 这类配置项。所谓“配置密钥”，实际指的是：

captcha.key：仅用于加密 Session 中的验证码值，和 API 认证无关
app.key：用于加密 Cookie、Session 数据，不是暴露给客户端的校验凭据
把密钥写进配置文件 ≠ 自动启用校验逻辑，它只是个字符串常量，不会触发任何行为
若误将 app.key 当作 API Key 暴露给前端，等于泄露应用主密钥，极其危险

常见错误与兼容性提醒

实际部署时最容易栽在细节上：

Vue 请求没带 header：axios.get('/v1/user', { headers: { 'X-API-Key': localStorage.getItem('api_key') } })，漏掉 headers 对象整个请求就无密钥
Nginx 丢弃了自定义 header：需在 server 块中显式放行，例如 underscores_in_headers on; + proxy_pass_request_headers on;
Apache 需开启 mod_headers 并用 RequestHeader set X-API-Key "%{HTTP:X-API-Key}e" 透传
TP5.1+ 支持 Request::header() 更简洁，但 TP5.0 只能用 input('server.HTTP_...')，别混用导致本地 OK、线上失效