thinkphp前后端分离中token通过authorization头（bearer格式）传递，前端用axios注入、后端用$request->header('authorization')提取并截取，中间件统一校验jwt，cors需配置allow_headers含authorization且allow_credentials设为false。

ThinkPHP前后端分离中，请求头携带 Token 主要用于无状态认证（如 JWT），关键不是“加个 header 就完事”，而是前后端协同配合：前端正确发送、后端能稳定读取、中间件统一校验。配置分三块——前端发、后端收、中间件验。

前端怎么发 Token（以 Axios 为例）

Token 通常存在 localStorage 或 sessionStorage 中，每次请求需手动注入 Authorization 头：

• 推荐格式：Authorization: Bearer xxxxx（JWT 标准写法，ThinkPHP 默认识别此格式）
• Axios 全局设置示例：axios.defaults.headers.common['Authorization'] = 'Bearer ' + localStorage.getItem('token');
• 若用自定义 Header（如 Token: xxx），需在 CORS 配置中显式声明：'allow_headers' => ['Content-Type', 'Authorization', 'Token']
• 注意：不用 withCredentials: true（除非你还依赖 Cookie；JWT 场景下应关闭凭据，避免冲突）

后端怎么读 Token

ThinkPHP 不自动解析 Authorization 头，必须手动提取：

Token Management

集中式 API token 管理。将 token 存于 .env，设失效日期；用脚本批量测权限；在 connections/ 文档记录；设日历提醒续期。防重复索要凭证，保证 token 安全并追踪失效。

下载

• 在控制器或中间件中，用 $this->request->header('authorization') 获取完整值（如 Bearer eyJhbGciOi...）
• 再做字符串截取：str_replace('Bearer ', '', $auth) 得到纯 token 字符串
• 别用 $_SERVER['HTTP_AUTHORIZATION'] —— 在某些 Web 服务器（如 Apache）下可能被过滤，$this->request->header() 更可靠
• 如果前端用了其他字段名（如 X-Token），就用 $this->request->header('x-token')

中间件统一验证 Token

把校验逻辑抽成中间件，避免每个接口重复写：

• 创建中间件：php think make:middleware AuthTokenMiddleware
• 在 handle() 方法里：提取 token → 解码 JWT → 验证签发者、过期时间、签名 → 查用户信息 → 绑定到 Request 对象（如 $request->userInfo = $user）
• 验证失败直接返回 JSON 错误：return json(['code' => 401, 'msg' => '登录已过期'])->code(401);
• 路由注册时绑定：Route::get('user/profile', 'User/profile')->middleware('AuthTokenMiddleware');

CORS 必须同步适配

Token 发送依赖跨域支持，否则预检（OPTIONS）就卡住：

• 确保 think-cors 已安装并启用，config/cors.php 中包含：'allow_headers' => ['Content-Type', 'Authorization']
• 'allow_credentials' => false（JWT 场景下禁用凭据，否则 Origin 不能为 *，且和 Bearer 冲突）
• 生产环境 'origin' 必须写死前端域名，例如 ['https://your-vue-app.com']

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！