使用JWT实现无状态认证，通过firebase/php-jwt生成和验证Token；2. 基于OAuth 2.0实现复杂授权，使用league/oauth2-server处理令牌发放；3. 采用API Key进行轻量级认证，通过中间件校验请求头中的密钥。
如果您正在开发一个基于PHP框架的Web API，并希望对客户端请求进行身份验证，那么实现API认证是确保系统安全的关键步骤。常见的做法是通过令牌（Token）机制来识别和验证用户身份。以下是几种在PHP框架中实现API认证的方法。
本文运行环境：Lenovo ThinkPad X1 Carbon，Ubuntu 24.04
一、使用JWT（JSON Web Token）进行无状态认证
JWT是一种开放标准（RFC 7519），允许在各方之间以安全的方式传输信息作为JSON对象。它可用于在每次请求中携带用户身份信息，而无需依赖服务器端会话存储。
1、安装官方推荐的JWT库，例如使用Composer引入firebase/php-jwt：composer require firebase/php-jwt。
立即学习“PHP免费学习笔记（深入）”；
2、在用户登录成功后生成Token，包含用户ID、过期时间等声明信息，并使用密钥签名。
3、将生成的Token返回给客户端，通常放在响应体或Authorization头中。
4、在后续API请求中，从请求头（如Authorization: Bearer <token>）提取Token。
5、使用相同的密钥验证Token的有效性，包括签名、过期时间等，验证通过后允许访问受保护资源。
二、基于OAuth 2.0的授权服务器实现
OAuth 2.0适用于需要第三方应用接入的场景，通过授权码、客户端凭证等方式获取访问令牌，适合复杂权限控制的系统。
1、选择支持OAuth 2.0的PHP库，如league/oauth2-server，并通过Composer安装：composer require league/oauth2-server。
2、配置授权服务器，定义客户端（Client）、访问令牌有效期、加密密钥等参数。
3、实现授权端点（/authorize）和令牌端点（/token），处理授权码流程或密码模式。
4、客户端通过正确凭证请求访问令牌，服务器验证后颁发Access Token和Refresh Token。
5、API路由中添加中间件，在每次请求时检查Access Token的有效性，并据此授予访问权限。
三、使用API密钥（API Key）进行简单认证
对于内部系统或轻量级服务，可采用API Key方式进行认证。每个注册客户端分配唯一密钥，通过请求头或查询参数传递。
1、在数据库中为每个应用或用户创建唯一的API Key，建议使用随机生成的字符串并加密存储。
2、客户端在发起请求时，将API Key放入请求头，例如：X-API-Key: your-generated-key。
3、在PHP框架中编写中间件，拦截所有API请求，读取请求头中的API Key。
4、查询数据库验证该Key是否存在且未被禁用，若匹配则继续执行请求，否则返回401未授权错误。
5、定期轮换密钥或提供失效机制以增强安全性。
