CakePHP3.9生产环境$this->Auth->identify()始终返回false

问题背景 #

• 基于CakePHP 3.9框架在AWS部署两套环境：预发布staging、生产production，两套环境代码、操作系统配置完全一致
• JWT登录接口在staging环境运行正常，production环境下用户提交邮箱、密码获取token时，$this->Auth->identify()始终返回false，登录失败
• 当前代码存在显性逻辑bug：identify()返回结果未做判空就直接读取$user['id']查询角色，认证失败时会直接抛出数组访问错误，建议先完成用户存在性判断，再执行后续角色查询逻辑。

涉及核心代码 #

token接口方法 #

/**
 * Get JWT token
 */
public function token()
{
    $user = $this->Auth->identify();
    $roleQuery = TableRegistry::getTableLocator()->get('UsersRoles');

    // Get user role
    $role = $roleQuery
    ->find()
    ->select(['role_id'])
    ->where(['user_id' => $user['id']])
    ->first();

    if (!$user) {
        // throw new UnauthorizedException('Invalid login details');
        $this->set([
           
            'success' => false,
            'data' => [
                "code" => 401,
                'message' => 'Invalid login details',
            ],
            '_serialize' => ['success', 'data']

        ]);
    }  else{
        $tokenId  = base64_encode(32);
        $issuedAt = time();
        $key = Security::salt();
        // $email = $user['email'];
        $this->set([
            'msg' => 'Login successfully',
            'success' => true,
            // 'user' => $user,
            'data' => [
                'token' => JWT::encode([
                    'alg' => 'HS256',
                    'id' => $user['id'],
                    'sub' => $user['id'],
                    'iat' => time(),
                    'exp' =>  time() + 86400,
                ],
                $key)
            ],
            '_serialize' => ['success', 'data', 'key']
        ]);
    }
}

全局认证配置 #

'Api' => [
    'auth' => [
        'storage' => 'Memory',
        'authenticate' => [
            'Form' => [
                'fields' => [
                    'username' => 'email'
                ],
            ],
            'ADmad/JwtAuth.Jwt' => [
                'parameter' => 'token',
                'userModel' => 'Users',
                // 'scope' => ['Users.status' => 1],
                'fields' => [
                    'id' => 'id'     
                ],
                'queryDatasource' => true
            ]
        ],
        'unauthorizedRedirect' => false,
        'checkAuthIn' => 'Controller.initialize'
    ],
],

ApiController组件加载逻辑 #

public function initialize(): void
{
    parent::initialize();
    $this->loadComponent('Security');

    $this->loadComponent('RequestHandler');
    $this->loadComponent('Auth', Configure::read('Api.auth'));

    $this->Auth->allow([
        'token'
    ]);
}

public function beforeFilter(Event $event): void
{
    $this->Security->setConfig('unlockedActions', [
        'token'
    ]);
}

生产环境错误返回 #

{
    "success": false,
    "data": {
        "code": 401,
        "message": "Invalid login details"
    }
}

排查步骤（按优先级从高到低执行） #

• 校验Security.salt配置一致性
  CakePHP的密码哈希校验强依赖config/app.php中的Security.salt值，该配置为环境独立配置，不会随代码版本库同步。如果生产环境salt值和用户密码生成时使用的salt不一致，密码哈希校验必然失败，直接导致identify()返回false。直接对比staging、production环境app.php中Security.salt的取值，确认生产环境salt和密码哈希生成环境的salt完全一致即可。
• 校验生产环境用户数据正确性
  排查生产环境Users表中对应用户的邮箱、密码哈希值是否正常，重点检查数据迁移过程中是否出现密码字段长度截断、特殊字符转义错误、邮箱带前后空格/大小写不匹配的问题。可在生产环境临时执行以下代码，手动校验明文密码和库中哈希值是否匹配：

  $hasher = new \Cake\Auth\DefaultPasswordHasher();
  // 替换为实际测试账号的明文密码、数据库中存储的密码哈希
  var_dump($hasher->check('测试账号明文密码', '数据库查询到的密码哈希值'));
  

  返回true说明密码哈希正常，返回false说明密码存储或salt配置存在问题。
• 校验接口实际接收的请求参数
  生产环境如果前置了WAF、负载均衡、CDN层，可能存在POST参数被过滤、转义、篡改的情况。在token()方法最开头临时打印$this->request->getData()，确认接口实际接收到的email、password参数和前端提交的内容完全一致，没有被中间层修改。
• 校验认证适配器执行逻辑
  当前配置同时加载了Form、JWT两个认证适配器，Auth组件会按配置顺序依次调用适配器认证方法，若请求中携带了token参数，JWT适配器会优先做token校验，校验失败会直接返回false中断后续Form认证流程。可在调用identify()前临时指定仅加载Form适配器，测试是否能正常识别用户：

  $this->Auth->setConfig('authenticate', [
      'Form' => [
          'fields' => ['username' => 'email']
      ]
  ]);
  $user = $this->Auth->identify();
  

• 校验数据库权限与表结构一致性
  确认生产环境应用使用的数据库账号拥有Users表的查询权限，同时对比staging、production环境Users表的字段类型、字段长度、字符集、排序规则是否完全一致，避免字段编码问题导致邮箱匹配失败。
• 开启调试模式定位具体失败点
  临时开启生产环境debug模式（调试完成后立即关闭，避免泄露敏感信息），查看Auth组件认证流程的完整日志，定位具体失败节点：是用户查询无结果、还是密码校验不通过、还是被安全组件拦截。

内容的提问来源于stack exchange，提问作者R0bertinski