无数据库Laravel 9.13对接外部API实现登录的方案咨询

我正在开发Laravel 9.13应用，无本地数据库，所有数据均来自外部API。需要实现用户登录功能，不能依赖Laravel默认认证机制，必须调用外部API验证凭证而非查询本地数据。目前尝试了一些方案，但有以下困惑：

已尝试方案与困惑点 #

1. 自定义SessionGuard触发Cookie jar has not been set.异常 #

已在AuthServiceProvider中扩展自定义Guard，并修改了config/auth.php配置，但运行时出现Cookie相关异常：

// AuthServiceProvider->boot内部代码：
Auth::extend('custom-session-guard', function($app, $name, array $config) {
    return new CustomSessionGuard(
        $name,
        Auth::createUserProvider($config['provider']),
        $app['session.store'],
        $app['request']
    );
});

// config/auth.php配置：
...
'guards' => [
    'web' => [
        'driver' => 'custom-session-guard',
        'provider' => 'users',
    ],

    'api' => [
        'driver' => 'token',
        'provider' => 'users',
        'hash' => false,
    ],
]...

2. CustomUserProvider方法的作用与调用逻辑 #

已创建CustomUserProvider并实现retrieveById、retrieveByToken、retrieveByCredentials方法，但不确定这些方法在当前场景下的具体职责，是否每次调用都需要请求外部API获取用户数据？

3. CustomUserProvider的validateCredentials方法正确实现 #

目前该方法仅返回true，显然不符合逻辑，但不清楚该方法的核心职责与正确实现方式。

额外需求 #

• 用户登录后，将外部API返回的用户数据存入缓存或Session，方便全应用访问；
• 根据返回数据中的propX属性值，登录完成后重定向至对应页面。

解决方案 #

1. 修复Cookie jar has not been set.异常 #

问题出在自定义Guard初始化时未注入CookieJar实例。修改AuthServiceProvider的Guard扩展代码，补充CookieJar依赖：

Auth::extend('custom-session-guard', function($app, $name, array $config) {
    return new CustomSessionGuard(
        $name,
        Auth::createUserProvider($config['provider']),
        $app['session.store'],
        $app['request'],
        $app['cookie'] // 新增注入CookieJar实例
    );
});

同时确保CustomSessionGuard的构造函数接收并传递CookieJar给父类：

use Illuminate\Contracts\Cookie\Factory as CookieFactory;
use Illuminate\Auth\SessionGuard;
use Illuminate\Contracts\Auth\UserProvider;
use Illuminate\Session\SessionInterface;
use Illuminate\Http\Request;

class CustomSessionGuard extends SessionGuard {
    public function __construct(
        string $name,
        UserProvider $provider,
        SessionInterface $session,
        ?Request $request = null,
        ?CookieFactory $cookie = null
    ) {
        parent::__construct($name, $provider, $session, $request, $cookie);
    }
}

2. CustomUserProvider方法的职责与实现 #

针对无本地数据库的场景，各方法的作用与优化实现如下：

• retrieveById：从Session/缓存中读取用户数据，缓存失效时再调用API拉取，减少重复请求：

  public function retrieveById($identifier) {
      $userData = Cache::get('user_' . $identifier);
      if (!$userData) {
          $apiResponse = Http::get("https://your-api.com/users/{$identifier}");
          if ($apiResponse->successful()) {
              $userData = $apiResponse->json();
              Cache::put('user_' . $identifier, $userData, now()->addMinutes(60));
          } else {
              return null;
          }
      }
      return new CustomUser($userData);
  }
  

• retrieveByToken：仅当应用支持"记住我"功能时需要实现，若不支持可直接返回null；
• retrieveByCredentials：该方法默认用于根据凭证查询用户，在你的场景下可跳过实际查询（验证逻辑移至Guard的attempt方法），直接返回空或临时用户对象。

3. validateCredentials方法的正确实现 #

该方法的核心职责是验证用户凭证的有效性，但因为你的验证逻辑是通过外部API完成的，所以当你已经通过API验证成功并获取用户数据后，此方法可直接返回true；若需要在Provider层面处理验证，可在此调用API验证，但更推荐在Guard的attempt方法中统一处理。

4. 用户数据存储与登录后重定向 #

在CustomSessionGuard的attempt方法中完成API验证、数据存储与重定向逻辑：

public function attempt(array $credentials = [], $remember = false) {
    // 调用外部API验证登录凭证
    $apiResponse = Http::post('https://your-api.com/login', $credentials);
    
    if ($apiResponse->successful()) {
        $userData = $apiResponse->json();
        
        // 将用户数据存入Session（或缓存）
        $this->session->put('auth_user', $userData);
        Cache::put('user_' . $userData['id'], $userData, now()->addMinutes(60));
        
        // 创建符合Authenticatable接口的用户实例
        $user = new CustomUser($userData);
        
        // 执行Laravel登录流程
        $this->login($user, $remember);
        
        // 根据propX属性重定向
        return match($userData['propX']) {
            'admin' => redirect()->route('admin.dashboard'),
            'editor' => redirect()->route('editor.workspace'),
            default => redirect()->route('user.home'),
        };
    }
    
    // 验证失败返回false
    return false;
}

注：CustomUser需要实现Illuminate\Contracts\Auth\Authenticatable接口，实现getAuthIdentifier、getAuthPassword等必要方法（无本地密码时可返回空字符串或API返回的token字段）。

全局访问用户数据 #

可在AppServiceProvider中绑定全局用户实例，方便全应用调用：

// AppServiceProvider->boot方法
$this->app->bind('current_user', function($app) {
    if (Auth::check()) {
        $userData = $app['session']->get('auth_user');
        return new CustomUser($userData);
    }
    return null;
});

之后在控制器、视图中可通过app('current_user')直接获取当前用户数据。

内容的提问来源于stack exchange，提问作者Diego Benetti