PHP Token 主流实现方案深度解析

优缺点

方案二：基于 JWT（JSON Web Token）的 Token 实现

核心原理

JWT 是一种无状态 Token 方案，由 Header、Payload、Signature 三部分组成。Token 存储于客户端（如 LocalStorage/Cookie），服务端仅通过签名校验其合法性和完整性。

前置条件

需安装 JWT 扩展，推荐使用 firebase/php-jwt：

composer require firebase/php-jwt

实现代码

<?php
require 'vendor/autoload.php';
use Firebase\JWT\JWT;
use Firebase\JWT\Key;

$secretKey = 'your_strong_secret_key';
$algorithm = 'HS256';

/**
 * 生成 JWT Token
 */
function generateJwtToken($payload = [])
{
    global $secretKey, $algorithm;
    $defaultPayload = [
        'iat' => time(),
        'exp' => time() + 3600,
    ];
    $payload = array_merge($defaultPayload, $payload);
    return JWT::encode($payload, $secretKey, $algorithm);
}

/**
 * 验证 JWT Token
 */
function verifyJwtToken($token)
{
    global $secretKey, $algorithm;
    try {
        $decoded = JWT::decode($token, new Key($secretKey, $algorithm));
        return (array)$decoded;
    } catch (Exception $e) {
        echo 'Token 验证失败：' . $e->getMessage();
        return false;
    }
}

// 示例
$userPayload = ['uid' => 1001, 'username' => 'test_user'];
$jwtToken = generateJwtToken($userPayload);
echo '生成的 JWT Token：' . $jwtToken . '<br>';

$clientToken = $_GET['token'] ?? '';
$decodedData = verifyJwtToken($clientToken);
if ($decodedData) {
    echo 'Token 验证通过，用户 ID：' . $decodedData['uid'];
} else {
    echo 'Token 无效';
}
?>

优缺点

方案三：基于 Redis 的 Token 实现

核心原理

Token 作为 Key，用户信息/过期时间作为 Value 存储在 Redis。利用 Redis 过期键特性自动管理 Token 有效期，验证时查询 Redis 是否存在该 Token 且未过期。

前置条件

需安装 PHP Redis 扩展，并配置 Redis 连接。

实现代码

<?php
function initRedis()
{
    $redis = new Redis();
    try {
        $redis->connect('127.0.0.1', 6379); 
        // $redis->auth('your_redis_password');
        return $redis;
    } catch (Exception $e) {
        echo 'Redis 连接失败：' . $e->getMessage();
        return null;
    }
}

function generateRedisToken($uid, $expire = 3600)
{
    $redis = initRedis();
    if (!$redis) return false;
    $token = md5($uid . time() . random_bytes(16));
    $tokenKey = 'token:' . $token;
    $redis->setex($tokenKey, $expire, $uid);
    return $token;
}

function verifyRedisToken($token)
{
    $redis = initRedis();
    if (!$redis) return false;
    $tokenKey = 'token:' . $token;
    $uid = $redis->get($tokenKey);
    if ($uid) {
        $redis->expire($tokenKey, 3600); // 滑动有效期
        return (int)$uid;
    }
    return false;
}

function destroyRedisToken($token)
{
    $redis = initRedis();
    if (!$redis) return false;
    $tokenKey = 'token:' . $token;
    return $redis->del($tokenKey) > 0;
}

// 示例
$token = generateRedisToken(1001);
echo 'Redis Token：' . $token . '<br>';

$clientToken = $_POST['token'] ?? '';
$uid = verifyRedisToken($clientToken);
if ($uid) {
    echo 'Token 验证通过，用户 ID：' . $uid;
} else {
    echo 'Token 无效或已过期';
}
// destroyRedisToken($clientToken);
?>

优缺点

方案四：基于数据库（MySQL）的 Token 实现

核心原理

将 Token、用户 ID、创建/过期时间、状态等信息存储在 MySQL。验证时查询数据库，检查 Token 是否存在、未过期且状态有效。

数据库表结构

CREATE TABLE `user_token` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `uid` int(11) NOT NULL COMMENT '用户 ID',
  `token` varchar(64) NOT NULL COMMENT '令牌值',
  `create_time` int(11) NOT NULL COMMENT '创建时间（时间戳）',
  `expire_time` int(11) NOT NULL COMMENT '过期时间（时间戳）',
  `status` tinyint(1) NOT NULL DEFAULT 1 COMMENT '1-有效 0-无效',
  PRIMARY KEY (`id`),
  UNIQUE KEY `idx_token` (`token`),
  KEY `idx_uid` (`uid`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='用户令牌表';

实现代码

<?php
$dbConfig = [
    'host' => '127.0.0.1',
    'user' => 'root',
    'password' => 'your_db_password',
    'dbname' => 'test',
    'charset' => 'utf8mb4'
];

function initDb()
{
    global $dbConfig;
    try {
        $dsn = "mysql:host={$dbConfig['host']};dbname={$dbConfig['dbname']};charset={$dbConfig['charset']}";
        $pdo = new PDO($dsn, $dbConfig['user'], $dbConfig['password']);
        $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        return $pdo;
    } catch (PDOException $e) {
        echo '数据库连接失败：' . $e->getMessage();
        return null;
    }
}

function generateDbToken($uid, $expire = 3600)
{
    $pdo = initDb();
    if (!$pdo) return false;
    $token = hash('sha256', $uid . time() . random_bytes(32));
    $createTime = time();
    $expireTime = $createTime + $expire;
    $sql = "INSERT INTO user_token (uid, token, create_time, expire_time, status) VALUES (:uid, :token, :create_time, :expire_time, 1)";
    $stmt = $pdo->prepare($sql);
    $stmt->bindParam(':uid', $uid, PDO::PARAM_INT);
    $stmt->bindParam(':token', $token, PDO::PARAM_STR);
    $stmt->bindParam(':create_time', $createTime, PDO::PARAM_INT);
    $stmt->bindParam(':expire_time', $expireTime, PDO::PARAM_INT);
    return $stmt->execute() ? $token : false;
}

function verifyDbToken($token)
{
    $pdo = initDb();
    if (!$pdo) return false;
    $now = time();
    $sql = "SELECT uid FROM user_token WHERE token = :token AND status = 1 AND expire_time > :now LIMIT 1";
    $stmt = $pdo->prepare($sql);
    $stmt->bindParam(':token', $token, PDO::PARAM_STR);
    $stmt->bindParam(':now', $now, PDO::PARAM_INT);
    $stmt->execute();
    $result = $stmt->fetch(PDO::FETCH_ASSOC);
    if ($result) {
        return (int)$result['uid'];
    }
    return false;
}

function destroyDbToken($token)
{
    $pdo = initDb();
    if (!$pdo) return false;
    $sql = "UPDATE user_token SET status = 0 WHERE token = :token";
    $stmt = $pdo->prepare($sql);
    $stmt->bindParam(':token', $token, PDO::PARAM_STR);
    return $stmt->execute() && $stmt->rowCount() > 0;
}

// 示例
$token = generateDbToken(1001);
echo '数据库 Token：' . $token . '<br>';

$clientToken = $_SERVER['HTTP_TOKEN'] ?? '';
$uid = verifyDbToken($clientToken);
if ($uid) {
    echo 'Token 验证通过，用户 ID：' . $uid;
} else {
    echo 'Token 无效或已过期';
}
// destroyDbToken($clientToken);
?>

优缺点

各方案对比汇总表

总结与选型建议

1. 选型核心原则

   • 小型单节点项目：优先选用 Session Token（实现简单）。
   • 前后端分离/跨域场景：优先选用 JWT Token（无状态，易于扩展）。
   • 中大型分布式项目：优先选用 Redis Token（性能与灵活性兼具）。
   • 需审计/复杂管理场景：可选数据库 Token（持久化与扩展性强）。

2. 安全性建议

   • 所有 Token 建议通过 HTTPS 传输，防止明文泄露。
   • JWT 密钥需定期更换，且严密保管。
   • Session/Redis/数据库 Token 建议设置合理有效期，验证后一次性销毁（CSRF 场景）或滑动刷新（登录态场景）。

3. 混合使用场景

   • 可结合 JWT + Redis，实现'无状态 + 可销毁'机制：JWT 存储基础信息，Redis 存储 JWT 黑名单，兼顾性能与灵活性。