17370845950

PHP客户端连接WebSocket时需通过Sec-WebSocket-Protocol或自定义Header（如Authorization）传token，URL带参仅当服务端明确支持；须手动解析握手响应状态码判断401等鉴权失败；重连前应清空旧socket资源并监听clo

se帧code实现token刷新。

PHP 客户端连接 WebSocket 时无法传 token 怎么办

WebSocket 协议本身不支持在握手阶段像 HTTP 那样直接带 Authorization 头或 Cookie（除非服务端显式支持并解析），PHP 原生 fsockopen 或 stream_socket_client 发起连接时，只能手动构造 HTTP 握手请求。常见错误是直接在 URL 后拼 ?token=xxx，但很多 WebSocket 服务端（如 Workerman、Swoole、ws:// 代理）默认不解析 query string 做鉴权。

实操建议：

• 优先用 Sec-WebSocket-Protocol 或自定义 header（如 Authorization）传 token——需服务端配合解析；
• 若服务端支持，URL 中带 ?token=xxx 是最简方式，但必须确认服务端是否从 $_GET 或 $request->get['token'] 取值；
• 避免把敏感 token 放在 URL 中，易被日志、代理、浏览器历史泄露；
• 使用 TLS（wss://）加密传输，否则明文 token 会被中间人截获。

用 Ratchet / ReactPHP 连接时怎么在 onOpen 前完成鉴权

Ratchet 的 onOpen 是连接建立后才触发的，此时已错过握手阶段。ReactPHP 的 WebSocketClient 同理——它不暴露握手请求对象，无法插入 header。

实操建议：

• Ratchet 客户端不可用于生产鉴权场景，它本质是服务端框架；真正要用 PHP 做客户端，请选 textalk/websocket 或 goranxu/ws-client 这类可定制握手的库；
• textalk/websocket 允许传 headers 数组：

  $client = new WebSocket("wss://api.example.com", ["Authorization" => "Bearer xxxxx"])

  ；
• 若必须用原生 stream，需手动写 handshake 请求，重点设置 Upgrade: websocket、Sec-WebSocket-Key 和自定义 header，并读取响应状态码和 Sec-WebSocket-Accept；
• 服务端返回 401 或关闭连接时，PHP 客户端要检查 stream_get_meta_data($fp) 中的 timed_out 或 eof 状态，不能只靠是否连上判断成功。

鉴权失败时 WebSocket 服务端返回 401，PHP 客户端怎么捕获

标准 WebSocket 握手响应是 HTTP/1.1 报文，但 PHP 的 stream_socket_client 默认不返回状态码，只会返回 socket 资源或 false。你看到的 “连接成功” 可能只是 TCP 握手通了，HTTP 层已被服务端拒绝。

实操建议：

• 用 stream_socket_client 后，立即调用 fgets($fp, 1024) 读第一行响应，检查是否为 "HTTP/1.1 101"；
• 如果读到 "HTTP/1.1 401" 或 "HTTP/1.1 403"，说明鉴权失败，应 fclose($fp) 并抛出异常；
• 某些服务端（如 Nginx + WebSocket proxy）会静默关闭连接而不发 HTTP 错误响应，此时需设 stream_set_timeout($fp, 5) 并监听 feof() 或 !is_resource($fp)；
• 不要依赖 error_get_last()，它通常为空——WebSocket 握手失败不触发 PHP warning。

Token 过期或被撤回后，PHP 客户端怎么主动重连并刷新凭证

WebSocket 是长连接，不像 HTTP 每次请求都能重新签发 token。一旦连接中 token 失效，服务端通常会发 close 帧（code 4001 或自定义）或直接断连，但 PHP 客户端若没监听 onClose 或没实现心跳，就会卡在无效连接里。

实操建议：

• 服务端应在 close 帧中带明确 code（如 4001 表示认证过期），PHP 客户端解析 close payload 前 2 字节获取 code；
• 用 pcntl_fork 或 proc_open 启动子进程轮询 token 有效期，避免主连接线程阻塞；
• 重连前必须清空旧 socket 资源，否则 stream_socket_client 可能复用底层 fd 导致“假连接”；
• 别在重连逻辑里硬编码 token 刷新接口，应抽象成回调函数，方便对接 OAuth2 或 JWT 自动续期服务。

实际中最容易被忽略的是：服务端对 WebSocket 握手请求的 header 解析逻辑往往和常规 HTTP 接口不一致，比如忽略 Authorization、不校验 Origin、或强制要求 Cookie 而非 token。PHP 客户端写的再严谨，服务端没配对，一切白搭。