如何在PHP REST API中同时支持Digest Auth和Basic Auth两种认证方式

可以同时支持两种认证，你提到的根据Authorization头内容做分支判断切换认证逻辑的方案是可行的。

常见误区纠正 #

你提到的「Digest认证默认不会在Authorization头中携带"Digest"字样」是操作误差导致的：
标准HTTP规范中，所有认证请求的Authorization头都需要携带对应认证方案的前缀，Digest认证的前缀就是Digest ，Basic认证的前缀是Basic 。
用Postman测试时看不到该前缀是因为Postman的Auth配置页隐藏了自动拼接的前缀，你可以在Postman控制台查看实际发出的原始请求头，就能看到完整的带前缀的Authorization字段值，不需要手动传递。

代码优化建议 #

你给出的示例代码逻辑是通顺的，可以做以下优化提升可靠性：

• 把全局字符串匹配改为前缀匹配，避免Authorization内容中其他位置出现Digest/Basic字符串导致判断出错：

$headers = apache_request_headers();
$authHeader = isset($headers['Authorization']) ? trim($headers['Authorization']) : '';

if ($authHeader !== '') {
    // PHP 8.0+ 可以直接用str_starts_with
    if (strpos($authHeader, 'Digest ') === 0) {
        // 走Digest认证逻辑
        echo "You are using Digest Auth";
    } elseif (strpos($authHeader, 'Basic ') === 0) {
        // 走Basic认证逻辑
        echo "You are using Basic Auth";
    } else {
        // 不支持的认证方式，返回401
        sendUnauthorizedResponse();
    }
} else {
    // 没有带认证头，返回401
    sendUnauthorizedResponse();
}

• 没有匹配到有效认证头时，返回的401响应中需要同时带上两种认证的挑战头，这样客户端可以自主选择支持的认证方式：

function sendUnauthorizedResponse() {
    $realm = '你的API接口域';
    // 同时返回两种认证的WWW-Authenticate头
    header(sprintf('WWW-Authenticate: Digest realm="%s",qop="auth",nonce="%s",opaque="%s"', 
        $realm, uniqid(), md5($realm)
    ));
    header(sprintf('WWW-Authenticate: Basic realm="%s"', $realm));
    header('HTTP/1.1 401 Unauthorized');
    exit('认证失败');
}

• 作为降级兜底方案，建议加额外的限制规则，比如仅对特定的客户端User-Agent、特定IP段开放Basic认证权限，避免其他客户端主动选择安全性更低的Basic认证。

内容的提问来源于stack exchange，提问作者Dave Hamilton