ThinkPHP中如何处理用户认证

在ThinkPHP中实现用户认证，通常可以拆解为四个核心环节。咱们一步一步来看。

第一步：配置认证参数

所有认证行为都需要一个统一的“开关”和“规则”。在config/app.php或config.php中，你需要明确告诉框架：认证方式是用Session还是Token？用来标识用户身份的字段是什么？比如最常见的配置是这样的：

return [
    // 认证类型
    'auth_type' => 'session',
    // 认证字段
    'auth_field' => 'user_id',
    // 其他认证相关配置
];

这里的auth_field就是后续验证登录状态时用于匹配的字段，通常对应数据库中的用户主键ID。

第二步：创建用户模型

模型是数据交互的桥梁。你需要一个专门跟users表打交道的模型类，方便后续查询、验证密码等操作。代码很简洁：

namespace app\model;
use think\Model;

class User extends Model
{
    protected $table = 'users';
}

当然，实际项目中你可能会加上自动时间戳、软删除等特性，但核心就是这张表。

第三步：实现用户认证逻辑

这个环节是核心中的核心。我们通常在控制器里完成登录、注销、状态检查等操作。想想用ThinkPHP自带的Auth门面，可以让我们省去不少重复的session操作。下面是典型的登录验证代码：

namespace app\controller;
use think\Controller;
use think\Request;
use app\model\User;
use think\facade\Auth;

class AuthController extends Controller
{
    public function login(Request $request)
    {
        $username = $request->param('username');
        $password = $request->param('password');

        $user = User::where('username', $username)->find();
        if ($user && password_verify($password, $user->password)) {
            Auth::login($user);
            return json(['message' => '登录成功']);
        } else {
            return json(['message' => '用户名或密码错误'], 401);
        }
    }

    public function logout()
    {
        Auth::logout();
        return json(['message' => '注销成功']);
    }

    public function checkAuth()
    {
        if (Auth::check()) {
            $user = Auth::user();
            return json(['message' => '已认证', 'user' => $user]);
        } else {
            return json(['message' => '未认证'], 401);
        }
    }
}

这里用了password_verify来校验密码，因为数据库里存储的应该是经过password_hash生成的哈希值。登录成功调用Auth::login后，Session里就存好了用户信息。后面的注销和检查就顺理成章了。

第四步：用中间件保护路由

有了认证逻辑，还需要一个“门卫”来决定哪些路由必须登录才能访问。这时中间件就派上用场了。先定义一个AuthMiddleware：

namespace app\middleware;
use think\Request;
use think\Response;
use think\facade\Auth;

class AuthMiddleware
{
    public function handle(Request $request, Closure $next)
    {
        if (!Auth::check()) {
            return response()->json(['message' => '未认证'], 401);
        }
        return $next($request);
    }
}

然后在路由配置中注册这个中间件，比如在app/config/route.php里：

use app\middleware\AuthMiddleware;

Route::group('api', function () {
    Route::post('login', 'AuthController@login');
    Route::post('logout', 'AuthController@logout');
    Route::get('check', 'AuthController@checkAuth');

    Route::group('protected', function () {
        Route::middleware(['auth'])->get('data', 'ProtectedController@index');
    });
});

这样一来，所有访问/api/protected/下的接口都会先经过auth中间件检查，未认证直接返回401，认证通过才继续执行业务逻辑。

以上四步走下来，一个干净、可扩展的用户认证体系就成型了。当然，实际项目中你还会遇到Token认证、权限分级、多应用隔离等复杂场景，但万变不离其宗，核心就是“配置→模型→认证逻辑→中间件保护”这条主线。把这个吃透了，再复杂的认证需求也能迅速落地。