thinkphp接口鉴权失败主因是请求与校验逻辑不一致，需重点排查token合法性（格式、时效、签名）、中间件注册顺序及执行（checkauth须在checkpermission前）、权限规则匹配（节点名精确、缓存更新、状态启用）。
ThinkPHP接口鉴权失败，多数不是框架出错，而是请求与后端校验逻辑没对齐。关键要盯住三件事：Token是否合法、中间件是否生效、权限规则是否匹配。
检查Token本身是否有效
JWT类鉴权失败，常见于token格式错误、过期或签名不匹配。先确认前端传的是标准Bearer格式——Postman里选Authorization → Bearer Token，别手动拼字符串；再检查token是否已过期，可在Tests脚本里加时间校验：
- 用
token.split(".")[1]解base64 payload，读exp字段判断是否过期 - 服务端签发和校验必须用同一密钥，且不能有空格或BOM，推荐从.env读取
JWT_SECRET - 解析前先正则校验
Authorization头：preg_match('/^Bearer\s+(.+)$/', $authHeader, $matches)，再取$matches[1] - 捕获异常不能只写
JWTException，还要包括UnexpectedValueException和InvalidArgumentException，否则非法token会报500而非401
确认中间件注册与执行顺序
中间件没生效，是鉴权失败最隐蔽的原因。TP6要求认证中间件必须在权限中间件之前注册，否则后续拿不到用户信息：
- 在
app/middleware.php中，把CheckAuth放在CheckPermission前面 - 别在构造函数里取用户，
__construct()阶段$request还没绑定完成；统一用$request->getAttribute('user') - 路由分组的
except只对当前中间件实例生效，全局注册的JWT中间件不会识别路由里的except，应改用显式绑定：Route::group(['middleware' => 'jwt.auth'])->except(['login']) - 中间件
handle()方法必须返回Response实例，中断流程时返回json(['code'=>401])，别用exit或die
验证权限规则与数据一致性
用Auth类做RBAC时，查不到权限往往不是代码问题，而是配置或缓存没到位：
-
Auth::check($uid, $node)中的$node必须和auth_rule.name字段完全一致，比如admin/user/edit少个斜杠就失效 - 改了权限规则表后，必须清缓存：
php think clear:auth或删runtime/cache/下对应文件 - 私有空间或后台权限需确保
auth_rule.status = 1，哪怕一条为0，整条链都会跳过 - 若用
getRolePermission()返回空，先查auth_role_access表是否有该角色记录，再确认关联的规则状态是否启用
绕过干扰快速定位问题
调试时别一头扎进逻辑，先排除环境和配置干扰：
- 打开
app_debug = true，让错误信息完整返回，Postman响应体里直接看到哪行抛异常 - 临时去掉中间件测试：
->withoutMiddleware([AuthMiddleware::class])，看是否仍报错 - 检查
.env中APP_URL、数据库host、JWT密钥是否正确，Postman无法感知这些变量 - 确认Accept头是否为
application/json，漏掉这个头，TP6可能返回HTML错误页，导致前端解析失败
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
