Laravel调用Superset API获取CSRF Token报错：Subject must be a string

问题描述 #

在Laravel应用中尝试通过Superset API生成访客令牌时，获取CSRF Token环节报错，错误信息如下：

Failed to get CSRF token: {"msg":"Subject must be a string"}

错误发生在Laravel助手文件/var/www/html/deso-cms/app/Helpers/SupersetHelper.php第62行。

已尝试代码 #

使用Laravel Http客户端调用Superset API的相关代码片段：

// 获取Superset的CSRF Token（禁用SSL验证）
$csrfResponse = Http::withOptions([
    'verify' => false, // 禁用SSL验证
])->withHeaders([
    'Authorization' => 'Bearer ' . $accessToken,
    'Referer'       => $supersetBaseUrl
])->get("$supersetBaseUrl/api/v1/security/csrf_token/");

if (!$csrfResponse->successful()) {
    throw new \Exception("Failed to get CSRF token: " . $csrfResponse->body());
}

$csrfToken = $csrfResponse->json()['result'];

预期与实际结果 #

• 预期：API返回有效的CSRF Token
• 实际：返回错误{"msg":"Subject must be a string"}

疑问 #

1. 该错误在Superset API语境下是什么含义？
2. 如何正确获取CSRF Token？
3. 我的认证请求发送方式是否存在问题？

系统信息 #

• Laravel版本：9
• PHP版本：8.1
• 操作系统：Windows 11
• Superset API地址：http://65.254.80.25:8088/api/v1/security/csrf_token/

已执行排查 #

• 查阅Superset API文档
• 验证$accessToken在请求前已正确获取
• 使用Postman手动测试API

问题分析与解决方案 #

1. "Subject must be a string"错误含义 #

这个错误是Superset解析JWT令牌时触发的：令牌中的sub（Subject）字段不是字符串类型，或者该字段缺失。Superset要求JWT的sub必须是字符串格式的用户标识符（如用户名、用户ID）。

2. 正确获取CSRF Token的步骤 #

步骤1：验证accessToken的JWT格式

用JWT解码工具检查$accessToken的内容，确认sub字段存在且为字符串类型。如果sub是数字或其他类型，需要调整生成JWT的逻辑，将其转为字符串。

步骤2：调整请求头与URL格式

Superset对请求头和URL格式有严格要求，修改代码如下：

$csrfResponse = Http::withOptions([
    'verify' => false,
])->withHeaders([
    'Authorization' => 'Bearer ' . trim($accessToken), // 移除令牌多余空格
    'Referer'       => rtrim($supersetBaseUrl, '/'), // 移除URL末尾斜杠
    'Accept'        => 'application/json' // 明确要求JSON响应
])->get(rtrim($supersetBaseUrl, '/') . '/api/v1/security/csrf_token/');

if (!$csrfResponse->successful()) {
    throw new \Exception("Failed to get CSRF token: " . $csrfResponse->body());
}

$csrfToken = $csrfResponse->json()['result'];

步骤3：检查Superset的JWT配置

如果使用自定义JWT认证，确认Superset配置中的JWT_SUBJECT_CLAIM字段与你的JWT令牌中的subject字段一致，且该字段值为字符串。默认Superset使用sub作为subject字段。

3. 认证请求的潜在问题修复 #

• 令牌格式问题：确保$accessToken没有多余的空格、换行符，用trim()处理后再拼接进请求头
• Session Cookie替代方案：如果Bearer令牌方式仍报错，可以尝试先通过登录接口获取Session Cookie，再携带Cookie请求CSRF Token：

// 先登录获取Session Cookie
$loginResponse = Http::withOptions(['verify' => false])->post(rtrim($supersetBaseUrl, '/') . '/api/v1/security/login', [
    'username' => '你的Superset用户名',
    'password' => '你的Superset密码',
    'provider' => 'db' // 按实际认证提供商调整，默认是db
]);

if ($loginResponse->successful()) {
    $cookies = $loginResponse->cookies();
    $host = parse_url($supersetBaseUrl)['host'];
    
    // 携带Cookie请求CSRF Token
    $csrfResponse = Http::withOptions(['verify' => false])
        ->withCookies($cookies, $host)
        ->withHeaders(['Referer' => rtrim($supersetBaseUrl, '/')])
        ->get(rtrim($supersetBaseUrl, '/') . '/api/v1/security/csrf_token/');
    
    // 后续处理CSRF Token...
}

内容的提问来源于stack exchange，提问作者kalyani priyadarsini