upload.before 中不能发异步请求取 Token，必须同步读取已存 Token 并赋值给 this.headers，否则请求头无效；需提前存储（如 sessionStorage 或 layui.data）、在 before 中同步读取校验，空 Token 须 return false 阻止上传。
upload.before 里不能直接发异步请求取 Token
因为 before 回调必须同步返回，如果在里面用 $.ajax 或 fetch 获取 token，this.headers 来不及赋值，上传就已发出——结果还是没 token。
常见错误现象：控制台看不到请求头、后端收不到 Authorization、返回 401；但你检查代码发现 this.headers 确实写了，只是没生效。
- 真正可行的做法是：提前在页面加载或登录后，把 Token 存进
sessionStorage或layui.data，然后在before里直接读取 - 如果 Token 必须每次上传前动态刷新（比如带时效性的一次性 token），得换方案：先用普通 Ajax 拿到 token，再手动触发
uploadInst.upload()，且确保 upload 实例已 render 完 - 不要在
choose或done里尝试改this.headers，它们不参与请求头组装
Token 存哪？怎么读？取决于你用的存储方式
存错位置，before 里就读不到最新值。Layui Admin 默认存在 layui.data('platform') 里，key 是 access_token；而纯 Layui 项目常用 sessionStorage.getItem('token')。
关键不是“存”，而是“读对地方”。例如：
- 如果你用的是 Layui Admin 模块：
layui.data('platform', {key: 'access_token'}) - 如果你自己管理 token：
sessionStorage.getItem('token')（推荐，关页即清）或localStorage.getItem('token')（持久化，需登出时主动删） - 如果封装了 token 获取逻辑（如统一鉴权 service），
before里应调用该方法，而不是硬写sessionStorage
upload.render 里写死 headers 一定失效
headers 在 upload.render() 执行时就被固化为一个对象引用，后续无论你怎么改这个对象的属性，Layui 内部都不会重新读取——它只认初始化那一刻的值。
所以这些写法全无效：
-
headers: { Authorization: 'Bearer ' + sessionStorage.getItem('token') }—— 只取一次，登录前为空，之后永远为空 -
uploadInst.config.headers.Authorization = 'Bearer xxx'—— config 是只读的，改了也不起作用 - 在登录成功回调里重新
upload.render()—— 会覆盖已有实例，导致事件绑定丢失、UI 错乱
唯一可靠路径：所有动态逻辑必须塞进 before 回调里，且用 this.headers 赋值。
空 Token 必须主动 return false 阻止上传
别指望后端拦截。Layui 不会因为你 headers 为空就自动取消请求，它照发不误，后端返回 401，前端还得额外处理错误提示。
正确做法是在 before 开头加校验：
before: function() {
const token = sessionStorage.getItem('token');
if (!token) {
layer.msg('未登录，请先登录', {icon: 2});
return false; // 关键：中断本次上传
}
this.headers.Authorization = 'Bearer ' + token;
}
注意两点：
-
return false是必须的，不是可选；漏掉就会发一个带空 Authorization 的请求 - 不要用
layer.alert或异步弹窗代替layer.msg，避免阻塞判断流程
before 支持异步。这两点一错，上传永远带不上 Token。
