AngularJS 1.5实现多标签/窗口独立用户认证方案咨询

老哥，维护20年的老CGI/PHP系统，既要保住用户用了半辈子的多标签多账号操作习惯，又要搞定Basic Auth的全局覆盖问题，这确实头疼。先给你点破核心矛盾：浏览器对同一域名的Basic Auth凭证、Session Cookie是全局共享的——新标签页登录会直接覆盖整个浏览器的认证上下文，导致服务器端的连接信息被冲掉。下面给你几个低改动的解决方案，分PHP端和AngularJS端说：

PHP端：绕开全局认证与共享上下文 #

1. 替换Basic Auth为自定义请求头 #

浏览器的Basic Auth是硬绑定域名的，没法给单个标签页单独设置凭证。我们换个思路，把认证信息放在自定义HTTP头里（比如X-Auth-User和X-Auth-Pass），这样每个标签页的请求能携带独立的凭证：

• 把原有依赖$_SERVER['PHP_AUTH_USER']/$_SERVER['PHP_AUTH_PW']的代码，改成从请求头读取：

// 替换原有Basic Auth逻辑
$username = $_SERVER['HTTP_X_AUTH_USER'] ?? '';
$password = $_SERVER['HTTP_X_AUTH_PASS'] ?? '';

• 验证凭证后，动态创建当前请求对应的Schema连接，绝对不要把连接存在全局变量或Session里——CGI模式下每个请求都是独立进程，只要在当前请求生命周期内维护连接就行，不同标签页的请求会各自建立独立连接，完全不会互相覆盖。

2. 拆分Session（如果用到了Session） #

如果你的应用用$_SESSION存用户/连接信息，那同一浏览器的Session会被所有标签页共享。解决办法是让每个标签页用独立的Session ID：

• 在PHP端，先读取URL参数里的Session ID，再初始化会话：

if (isset($_GET['sid'])) {
    session_id($_GET['sid']);
}
session_start();

这样每个标签页可以生成自己的随机Session ID，存在本地，请求时带上，彻底隔离会话上下文。

AngularJS端：用拦截器统一处理凭证传递 #

不用手动改每个API请求，写个简单的HTTP拦截器就能自动给每个请求带上专属凭证：

1. 标签页独立的认证头拦截器 #

用sessionStorage存储凭证（它是每个标签页独立的，不会跨标签共享），拦截器自动把凭证加到请求头里：

angular.module('yourApp').factory('authInterceptor', ['$window', function($window) {
    return {
        request: function(config) {
            // 从当前标签页的sessionStorage读凭证
            const authStr = $window.sessionStorage.getItem('currentAuth');
            if (authStr) {
                const auth = JSON.parse(authStr);
                config.headers['X-Auth-User'] = auth.username;
                config.headers['X-Auth-Pass'] = auth.password;
            }
            return config;
        }
    };
}]);

// 注册拦截器
angular.module('yourApp').config(['$httpProvider', function($httpProvider) {
    $httpProvider.interceptors.push('authInterceptor');
}]);

• 登录逻辑调整：用户输入账号密码后，把凭证存在当前标签页的sessionStorage里，不用再依赖浏览器的Basic Auth弹窗。

2. 独立Session ID传递（如果用了Session） #

如果PHP端需要独立Session ID，AngularJS可以在登录时生成随机ID，存在sessionStorage，然后拦截器自动加到请求参数里：

// 登录时生成随机Session ID
const sid = Math.random().toString(36).slice(2);
$window.sessionStorage.setItem('currentSid', sid);

// Session ID拦截器
angular.module('yourApp').factory('sidInterceptor', ['$window', function($window) {
    return {
        request: function(config) {
            const sid = $window.sessionStorage.getItem('currentSid');
            if (sid) {
                // 把sid拼到URL参数里
                const separator = config.url.includes('?') ? '&' : '?';
                config.url += `${separator}sid=${sid}`;
            }
            return config;
        }
    };
}]);

$httpProvider.interceptors.push('sidInterceptor');

关键提醒 #

• 安全优先：自定义头传密码是明文，必须确保网站用HTTPS，避免凭证被窃听。嫌明文不安全的话，可以改成登录时生成临时token，用token替代密码传递。
• CGI模式优势：CGI每个请求都是独立进程，只要你不搞跨进程的连接共享（比如全局连接池绑定用户），每个请求的连接都是完全独立的，不用担心覆盖问题。
• 最小改动原则：这些方案只需要修改认证信息的获取逻辑、加个AngularJS拦截器，原有业务代码几乎不用动，完美适配你“不能大量重写”的需求。

内容的提问来源于stack exchange，提问作者Larry R. Irwin