Phalcon PHP应用中Postman无法读取Authorization Header令牌求助

一、Postman正确的令牌发送方式 #

确保请求头格式符合OAuth2 Bearer令牌规范，两种可选方式：

• Bearer令牌模式：在Postman的「Authorization」选项卡，选择类型为「Bearer Token」，直接填入你的令牌字符串，Postman会自动构造格式为 Authorization: Bearer {你的令牌} 的请求头。
• 手动添加请求头：在「Headers」选项卡，添加键为 Authorization，值为 Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoyNTZ9.v0cXrqoDEix-xCSVa8aFzNvyLW1monPv0lsaB8cj0Rc（注意Bearer与令牌之间有一个空格）。

二、Phalcon端正确的令牌读取逻辑 #

你当前的代码直接读取Authorization头，但Bearer模式下该头包含Bearer 前缀，需要先提取纯令牌字符串，修改后的代码如下：

public function infoAction()
{
    $authHeader = $this->request->getHeader('Authorization');
    $accessToken = null;

    // 解析Bearer格式的令牌
    if ($authHeader && str_starts_with($authHeader, 'Bearer ')) {
        // 截取掉"Bearer "前缀，得到纯令牌
        $accessToken = substr($authHeader, 7);
    }

    // 验证令牌有效性
    if (!$accessToken || !$this->isLoggedIn($accessToken)) {
        return $this->unauthorized();
    }

    return $this->response->setJsonContent($this->getUserInfo());
}

注意：如果你的PHP版本低于8.0，str_starts_with需要替换为substr($authHeader, 0, 7) === 'Bearer '来判断前缀。

三、服务器配置排查（关键） #

多数情况下无法读取Authorization头是因为Web服务器未正确传递该头信息：

Apache环境 #

在项目根目录的.htaccess文件中添加以下配置：

RewriteEngine On
RewriteCond %{HTTP:Authorization} ^(.*)
RewriteRule .* - [e=HTTP_AUTHORIZATION:%1]

Nginx环境 #

在站点配置的location块中添加fastcgi_param配置：

location / {
    fastcgi_pass   127.0.0.1:9000; # 根据你的PHP-FPM地址调整
    fastcgi_param  HTTP_AUTHORIZATION $http_authorization;
    # 其他FastCGI参数保持不变
}

四、调试验证 #

可以在infoAction开头添加调试代码，确认请求头是否被正确获取：

var_dump($this->request->getHeader('Authorization'));
exit;

发送请求后查看输出，确认是否拿到完整的Bearer {令牌}字符串，再逐步排查isLoggedIn方法的令牌验证逻辑。

内容的提问来源于stack exchange，提问作者samirapadidar