Laravel中设置Authorization头后中间件无法提取token问题求助

可能的原因及解决方案 #

1. 中间件执行顺序错误 #

如果你的$request->headers->set()代码在授权中间件之后执行（比如控制器方法内、晚于授权中间件的其他中间件中），授权中间件运行时还未完成header设置，自然无法读取到token。

解决方法：

• 将设置header的逻辑放到授权中间件之前的中间件中，确保授权校验前完成header配置。
• 示例代码：

  // app/Http/Middleware/SetAuthToken.php
  public function handle(Request $request, Closure $next)
  {
      $token = '你的token值';
      // 直接修改原请求头
      $request->headers->set('Authorization', 'Bearer ' . $token);
      // 或返回新的Request实例（Laravel 8+推荐写法）
      // return $next($request->withHeader('Authorization', 'Bearer ' . $token));
      return $next($request);
  }
  

  在app/Http/Kernel.php中注册该中间件，并确保其在授权中间件（如auth:api）之前：

  protected $routeMiddleware = [
      'set-auth-token' => \App\Http\Middleware\SetAuthToken::class,
      'auth:api' => \App\Http\Middleware\Authenticate::class,
      // ...其他中间件
  ];
  

  路由调用时按顺序挂载：

  Route::get('/protected-resource', function() {})->middleware(['set-auth-token', 'auth:api']);
  

2. Token提取逻辑存在隐患 #

你当前的提取代码在Authorization头存在但格式不符合Bearer {token}规范时，会触发数组索引越界错误，导致$token为null：

// 原代码风险：若header仅为"Bearer"（无token），explode后数组仅含[0]，取[1]会报错
$token = $request->header('Authorization') ? explode(" ", $request->header('Authorization'))[1] :  null;

优化提取逻辑，确保安全且准确：

$authorizationHeader = $request->header('Authorization');
$token = null;

// 先校验header存在且以"Bearer "开头
if ($authorizationHeader && str_starts_with($authorizationHeader, 'Bearer ')) {
    // 截取"Bearer "之后的token部分（"Bearer "共7个字符）
    $token = substr($authorizationHeader, 7);
}

3. 确认Request对象是否正确传递 #

若在自定义请求转发等场景下，需确保修改后的Request实例被正确传递到后续中间件/控制器。使用$request->withHeader()会生成新的Request对象，需将该实例传入$next()，而非原对象。

内容的提问来源于stack exchange，提问作者Muhammad Nihal