PHP的http_response_code总被触发？无JWT返回403但有token仍生效问题

• 判定逻辑过于宽松：PHP中!$jwt的判定规则会将空字符串、null、数字0、字符串'0'、空数组等均判定为真，只要你的$jwt取值符合上述任意一种情况，哪怕你认为已经存储了token，也会触发403逻辑。大概率是你给$jwt赋值的环节存在问题，比如从请求头获取Authorization字段时取值失败、没有正确去除Bearer 前缀，导致$jwt实际为空。
• 状态码设置后无输出：你代码中输出$jwt的语句本身是注释状态，且没有指定响应头的Content-Type，部分服务器或客户端会在返回403状态码时自动加载默认错误页，覆盖用户自定义输出内容。

1. 先排查$jwt实际取值
   在判断逻辑前临时增加调试代码，确认$jwt的真实值：

header('Content-Type: application/json');
echo json_encode(['debug_jwt' => $jwt]);
// 临时注释原有判断逻辑，先确认取值是否正确
// if(!$jwt){
//     http_response_code(403);
//     exit();
// }

运行后查看返回的debug_jwt字段，确认是否是你预期的有效JWT字符串，如果为空则排查$jwt的赋值逻辑。

2. 优化判定逻辑
   替换原有宽松的!$jwt判定，改用符合JWT格式规则的严格判定，避免误判：

// 判定JWT是否为空、是否符合三段式的标准格式
if (empty($jwt) || !preg_match('/^[a-zA-Z0-9_-]+\.[a-zA-Z0-9_-]+\.[a-zA-Z0-9_-]+$/', $jwt)) {
    http_response_code(403);
    header('Content-Type: application/json');
    // 可自定义返回错误信息
    echo json_encode(['code' => 403, 'msg' => '缺少有效鉴权凭证']);
    exit();
}

3. 正常输出$jwt内容
   如果需要在业务逻辑中输出JWT，在判定通过的分支输出即可，不要在403的错误分支输出调试内容：

// 判定通过后输出JWT
header('Content-Type: application/json');
echo json_encode(['jwt' => $jwt]);

内容的提问来源于stack exchange，提问作者Tania