# `naisi_verify_login_credential`

验证 Login Credential 的许可、格式、AEAD、target、随机标识、时效和 Payload。

当前请求须先完成 naisi_is_ext_license_valid() 许可初始化。
SaaS 模式在认证解密后检查 tenant_code 为非负整数：0 表示平台作用域，正整数须获租户许可；entcustom 不检查租户范围。
成功时仅返回 Payload，scope 始终为数组；存在 act_uid 时必有 is_imp=true。
不建立或改写登录、租户及权限上下文；有效期内可重复验证，一次性消费由 PHP 负责。
校验或参数类型失败返回 false，并将 credential_payload 清空为 null。

## 函数签名

```php
function naisi_verify_login_credential(string $target, string $credential, string $salt, ?array &$credential_payload = null): bool
```

## 调用前提

应用入口先调用 [naisi_is_ext_license_valid](/web/developers/naisilib/naisi-is-ext-license-valid) 并确认返回 `true`。认证 Agent 发布的许可与 heartbeat 快照，并建立或复用本请求的 BASIC 证明；不会读取许可文件或检查当前 Host。

授权类别：`LICENSE_EXPLICIT_TENANT`；执行模式：`BASIC`。许可不代替登录、租户或权限上下文；身份与数据要求见本页参数及用途说明。

## 参数

### `$target`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

Credential 目标系统标识，1～128 字节有效 UTF-8，不含控制字符；验证时逐字节匹配。

### `$credential`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

完整无前缀 Login Credential 密文，使用 naisi_base64_encode 的 -、_、$ 替换规则并保留填充，不是查询 Code。

### `$salt`

- 类型：`string`
- 必填：是
- 默认值：无
- 方向：输入参数。

创建时使用的同一份 16 字节业务盐。

### `$credential_payload`

- 类型：`?array`
- 必填：否
- 默认值：`null`
- 方向：引用输出参数；失败时清空，仅在成功后包含有效结果。

可信 Payload 输出：scope 为数组，代理时包含 act_uid 和 is_imp=true；失败为 null。 该参数按引用传递，调用结束后可能被写入输出结果。

## 返回值

类型：`bool`

验证或条件判断成立时返回 true，否则返回 false。

## 调用示例

当前请求须满足上方调用前提；请检查实际返回值和引用输出，随机结果及数据包内容以运行环境为准。

```php
// 当前请求先完成许可验证；$credential 来自签发端。
$payload = null;
$ok = naisi_verify_login_credential(
    'warehouse_pda', $credential, '1234567890abcdef', $payload
);
if (!$ok) { throw new RuntimeException('凭证无效'); }
// 验证成功后由业务建立最终 Session。
```

## 升级说明

当前签名用 16 字节的 `$salt` 字符串替代 `$encryption_config` 数组；密钥由扩展从内部 AES 密钥库选择。签发端和验证端须使用相同业务盐。旧调用需修改，已有令牌或 Credential 应重新签发并验证兼容性。

## 版本信息

- 自版本：`1.0.6`
- 实现模块：`auth`
- 授权类别：`LICENSE_EXPLICIT_TENANT` / `BASIC`
- 失败回退：`false`
- 文档同步：`2026-10-18`