ThinkPHP中的Token是开发者自行实现的通用方案，用于防重放、防重复提交及身份校验；官方未提供统一组件，但支持基于Session、Cache、Crypt等灵活组合，常见于表单验证、API鉴权和JWT登录态管理。
ThinkPHP 中的 Token 通常用于接口防重放、表单防重复提交或用户身份临时校验，它不是框架内置的强制机制，而是开发者基于需求自行实现的通用方案。官方未提供统一的 Token 管理组件，但提供了 Session、Cache、Crypt 等基础支持，可灵活组合使用。
Token 常见使用场景
在 ThinkPHP 中，Token 多用于以下几种情况：
- 表单防重复提交：生成一次性 Token 存入 Session 和表单隐藏域，提交时比对并立即销毁
- API 接口鉴权（轻量级）：结合时间戳、随机串、签名生成临时 Token，服务端验证有效期与合法性
- 前后端分离登录态维持：登录成功后生成 Token（如 JWT 或自定义加密字符串），返回给前端后续请求携带
手动实现表单 Token（推荐入门方式）
以 ThinkPHP 6.x 为例，可在控制器中生成和验证：
- 生成：用
Str::random(16)或md5(uniqid().mt_rand())创建唯一字符串，存入 Session：Session::set('form_token', $token) - 嵌入表单：
- 验证：接收请求后检查
$request->post('token')是否与Session::get('form_token')一致，验证通过立即Session::delete('form_token') - 注意：需开启 Session（默认已启用），且 Token 验证失败应拒绝请求并提示“请勿重复提交”
对接 JWT 实现 API Token（进阶用法）
若需更规范的 Token 管理（如过期、刷新、权限声明），可集成第三方库如 firebase/php-jwt：
立即学习“PHP免费学习笔记（深入）”；
- 安装：
composer require firebase/php-jwt - 签发：登录成功后构造 payload（含 uid、exp、iat 等），用密钥签名生成 Token 字符串
- 验证：中间件中读取请求头
Authorization: Bearer xxx，用相同密钥解析并校验 exp 和签名 - ThinkPHP 6 的中间件可统一拦截 API 请求，避免每个方法重复写验证逻辑
注意事项与避坑点
实际使用中容易忽略的关键细节：
- Token 不要长期有效，尤其表单类 Token 必须“一次一用”，JWT 类建议设置合理过期时间（如 2 小时）
- 敏感操作（如支付、删除）建议叠加 IP、User-Agent 校验，防止 Token 泄露后被滥用
- 不要把 Token 明文存数据库；如需持久化记录，应加密存储或仅存哈希值
- 前后端分离项目中，避免将 Token 存 localStorage（易 XSS 泄露），优先用 httpOnly Cookie 或内存变量管理
基本上就这些。ThinkPHP 本身不绑定特定 Token 方案，关键是根据业务安全等级选择合适实现方式——简单表单用 Session Token 足够，复杂系统建议上 JWT 或接入 OAuth2。
