WebSocket连接前必须刷新token，因握手是一次性HTTP请求且无自动重试机制；过期时需用refresh token换取新access token并更新缓存，再发起连接。

WebSocket 连接时 token 已过期，连接直接被拒绝

PHP 本身不原生维护 WebSocket 长连接，常见做法是用 curl 或 stream_socket_client() 发起 WebSocket 握手请求（如连接 WSS 服务），并在 Sec-WebSocket-Protocol 或请求头里带 Authorization: Bearer xxx。如果此时传入的 token 已过期，服务端通常会返回 401 Unauthorized 或在 WebSocket 协议升级阶段直接关闭连接（如发送 Connection: close），客户端收不到 101 Switching Protocols 响应，握手失败。

关键点在于：WebSocket 握手是一次性 HTTP 请求，没有“自动重试 + 刷新 token”机制。你得自己在发起连接前确保 token 有效。

• 不要等到 stream_socket_client() 返回资源后再校验 token —— 此时连接已发起，失败只能重来
• 避免把 token 存在 PHP session 或文件里长期复用，尤其在多进程/多请求场景下易出现并发过期
• 若使用 reactphp/websocket-client 等异步库，其 connect() 是非阻塞的，token 必须在调用前完成刷新并注入

PHP 中安全获取并刷新 token 的实操方式

不能靠前端传来的旧 token 直接连，得走后端可控的刷新流程。典型路径是：先用 refresh token 换新 access token，再用新 token 建连。

假设你的认证服务提供 /auth/refresh 接口（POST，Content-Type: application/json）：

$refreshToken = $_SESSION['refresh_token'] ?? null;
if (!$refreshToken) {
    throw new Exception('No refresh token available');
}

$ch = curl_init('https://api.example.com/auth/refresh');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode(['refresh_token' => $refreshToken]));
curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);

$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);

if ($httpCode !== 200) {
    throw new Exception("Token refresh failed: {$httpCode}");
}

$data = json_decode($response, true);
$newToken = $data['access_token'] ?? null;
if (!$newToken) {
    throw new Exception('No access_token in refresh response');
}

// 后续 WebSocket 握手请求头中使用它
$wsHeaders = [
    "Authorization: Bearer {$newToken}",
    "Sec-WebSocket-Version: 13",
    "Sec-WebSocket-Key: " . base64_encode(random_bytes(16)),
];

• refresh token 必须保密存储（如加密存 DB 或 Redis，过期时间设为 7–30 天），不能明文放 session
• 刷新成功后，务必更新 session/缓存中的 access_token 和 expires_at 时间戳，避免下次又用旧 token
• 别在 WebSocket 连接过程中同步刷新 token —— 一旦连接已建立，token 过期不影响当前帧传输，但后续 ping/subscribe 等业务请求会失败

WebSocket 已连接状态下 token 过期怎么办

WebSocket 协议本身不定义 token 续期机制。服务端通常会在 ping 响应、或每次业务消息处理前校验 token。一旦过期，常见表现是：服务端主动发 close 帧（code 4001 或自定义），或后续 send() 操作无响应、超时。

这时 PHP 客户端（如基于 sockets 或 amphp/websocket）无法“热替换 token”，唯一可靠做法是：断开重连，并在重连前刷新 token。

• 监听 WebSocket 关闭事件（如 onClose 回调），检查 $code

  

  是否为 4001 / 4003 等语义化过期码
• 触发一次 token 刷新流程（同上），成功后再调用 reconnect() 或新建 client 实例
• 加退避重连（如 1s → 2s → 4s），避免 token 刷新失败时无限循环
• 注意：不要在 onMessage 里边收到错误响应边刷新 token 边重发消息 —— 顺序和状态容易错乱，应统一交由连接管理层处理

用 ReactPHP 或 Amp 时 token 管理的坑

异步 PHP 框架里，token 刷新是 Promise/Future 操作，容易因闭包捕获旧值、未 await 就建连而失效。

以 reactphp/websocket-client 为例，常见错误写法：

// ❌ 错误：$token 是连接前就固定的，不会随刷新更新
$client->connect("wss://api.example.com?token={$token}");

// ✅ 正确：在 connect() 的 Promise 链中动态注入新 token
$refreshedToken = yield $this->refreshToken(); // yield 等待刷新完成
yield $client->connect("wss://api.example.com", [], [
    'headers' => ['Authorization' => "Bearer {$refreshedToken}"]
]);

• Amp 下必须用 co() 或 await 确保刷新完成，否则 connect() 可能拿到 null 或过期值
• 别把 token 存在类属性里供多个协程共享修改 —— 竞态下可能 A 刷新了、B 还拿着旧值去连
• 有些网关要求 token 放 query string（如 wss://…/ws?token=xxx），要注意 URL 编码，且该方式比 header 更易泄露、不推荐用于生产

token 刷新不是“连上了再换”，而是“换好了再连”。所有连接发起点都必须串行经过刷新逻辑，且刷新结果要严格绑定到当次连接上下文 —— 这一点在异步、长连接、多租户场景下最容易出问题。

# php  # react  # redis  # js  # 前端  # json  # 编码  # app  # access  # websocket  # session  # String  # NULL 

相关栏目： 【 网站优化151355 】 【 网络推广146373 】 【 网络技术251813 】 【 AI营销90571 】

相关推荐： 长沙做网站要多少钱,长沙国安网络怎么样？  如何快速生成可下载的建站源码工具？  Laravel如何与Pusher实现实时通信？（WebSocket示例）  JavaScript常见的五种数组去重的方式  Laravel Fortify是什么，和Jetstream有什么关系  手机钓鱼网站怎么制作视频,怎样拦截钓鱼网站。怎么办？  如何快速搭建高效简练网站？  米侠浏览器网页背景异常怎么办 米侠显示修复  Laravel怎么进行数据库事务处理_Laravel DB Facade事务操作确保数据一致性  谷歌浏览器如何更改浏览器主题 Google Chrome主题设置教程  Laravel怎么做数据加密_Laravel内置Crypt门面的加密与解密功能  Laravel Eloquent：优雅地将关联模型字段扁平化到主模型中  Laravel如何实现数据库事务？（DB Facade示例）  美食网站链接制作教程视频,哪个教做美食的网站比较专业点？  Win11怎么恢复误删照片_Win11数据恢复工具使用【推荐】  网站视频制作书签怎么做,ie浏览器怎么将网站固定在书签工具栏？  Laravel怎么实现一对多关联查询_Laravel Eloquent模型关系定义与预加载【实战】  Laravel Seeder怎么填充数据_Laravel数据库填充器的使用方法与技巧  canvas 画布在主流浏览器中的尺寸限制详细介绍  如何在阿里云通过域名搭建网站？  PHP 实现电台节目表的智能时间匹配与今日/明日轮播逻辑  详解vue.js组件化开发实践  Laravel怎么定时执行任务_Laravel任务调度器Schedule配置与Cron设置【教程】  googleplay官方入口在哪里_Google Play官方商店快速入口指南  做企业网站制作流程,企业网站制作基本流程有哪些？  东莞专业网站制作公司有哪些,东莞招聘网站哪个好？  网站制作软件免费下载安装,有哪些免费下载的软件网站？  如何正确下载安装西数主机建站助手？  零基础网站服务器架设实战：轻量应用与域名解析配置指南  如何快速查询域名建站关键信息？  Laravel的辅助函数有哪些_Laravel常用Helpers函数提高开发效率  如何用美橙互联一键搭建多站合一网站？  公司网站制作需要多少钱,找人做公司网站需要多少钱？  Laravel如何记录日志_Laravel Logging系统配置与自定义日志通道  如何在HTML表单中获取用户输入并结合JavaScript动态控制复利计算循环  HTML 中如何正确使用模板变量为元素的 name 属性赋值  logo在线制作免费网站在线制作好吗,DW网页制作时，如何在网页标题前加上logo？  Claude怎样写结构化提示词_Claude结构化提示词写法【教程】  nodejs redis 发布订阅机制封装实现方法及实例代码  Laravel如何使用withoutEvents方法临时禁用模型事件  如何用IIS7快速搭建并优化网站站点？  专业型网站制作公司有哪些,我设计专业的，谁给推荐几个设计师兼职类的网站？  如何用景安虚拟主机手机版绑定域名建站？  Laravel怎么处理异常_Laravel自定义异常处理与错误页面教程  专业企业网站设计制作公司,如何理解商贸企业的统一配送和分销网络建设？  东莞市网站制作公司有哪些,东莞找工作用什么网站好？  如何使用 jQuery 正确渲染 Instagram 风格的标签列表  如何在IIS服务器上快速部署高效网站？  实例解析angularjs的filter过滤器  Android中AutoCompleteTextView自动提示