PHP cURL同时携带Basic认证与Bearer令牌调API遇401问题求助

这个坑我之前踩过！你遇到的问题本质是：当手动设置CURLOPT_HTTPHEADER时，cURL会自动覆盖掉它原本要生成的Basic认证头，导致Apache的HTPASSWD验证失败，返回401。下面给你两种可靠的解决方法：

方法一：手动构造双认证头（推荐） #

HTTP协议允许在请求中发送多个Authorization头，我们可以手动把Basic认证和JWT认证的头都塞进请求里，这样Apache和后端API就能分别处理各自的认证逻辑。

具体代码如下：

$jwt = // 你的标准JWT Token
$user = 'myuser';
$pass = 'mypass';

// 生成Basic认证的编码字符串
$basicAuthHeader = 'Basic ' . base64_encode("$user:$pass");

$curl = curl_init();
curl_setopt($curl, CURLOPT_URL, 'https://dev.mysite.com/api');
// 同时设置两个Authorization头和Content-Type
curl_setopt($curl, CURLOPT_HTTPHEADER, [
    'Content-Type: application/json',
    $basicAuthHeader,
    'Authorization: Bearer ' . $jwt
]);
curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);

$output = curl_exec($curl);

// 别忘了做错误检查
if (curl_errno($curl)) {
    echo 'CURL错误：' . curl_error($curl);
}
// 查看响应状态码确认是否成功
$httpCode = curl_getinfo($curl, CURLINFO_HTTP_CODE);
curl_close($curl);

echo "HTTP状态码：$httpCode\n";
echo "响应内容：$output";

为什么之前的方法失效？ #

• 当你设置CURLOPT_HTTPHEADER时，cURL会忽略CURLOPT_HTTPAUTH和CURLOPT_USERPWD的配置，不会自动生成Basic认证头，因为手动设置的请求头优先级更高。
• URL中携带user:pass@domain的方式，部分Apache配置可能会禁用这种传递认证信息的方式，或者cURL在某些环境下无法正确解析生成认证头，所以可靠性不如手动构造头。

验证请求头是否正确发送 #

可以添加一行代码查看实际发送的请求头，确认两个认证头都被正确传递：

// 在curl_exec之后添加
$sentHeaders = curl_getinfo($curl, CURLINFO_HEADER_OUT);
echo '发送的请求头：' . $sentHeaders;

正常情况下，你会看到类似这样的请求头：

GET /api HTTP/1.1
Host: dev.mysite.com
Authorization: Basic bXl1c2VyOm15cGFzcw==
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
Content-Type: application/json

内容的提问来源于stack exchange，提问作者Tom