Laravel Socialite集成Twitter OAuth无状态API报错：Session store not set on request

为单页应用（SPA）的无状态API集成Laravel Socialite实现Twitter OAuth时，生成授权URL遭遇错误：Session store not set on request。尽管已按文档要求调用stateless()方法，且路由配置在routes/api.php中，但调用Twitter驱动的redirect()方法仍触发该会话相关错误。

控制器相关代码：

public function getSocialRedirect(Request $request, string $provider)
{
    try {
        $url = Socialite::driver('twitter')
            ->stateless()
            ->scopes($scopes)
            ->with(['state' => $state])
            ->redirect()
            ->getTargetUrl();

        return response()->json([
            'url' => $url,
        ]);
    } catch (\Exception $e) {
        throw $e;
    }
}

配置文件中Twitter OAuth2配置：

'twitter' => [
        'enabled'       => env('TWITTER_ENABLED', false),
        'client_id'     => env('TWITTER_CLIENT_ID'),
        'client_secret' => env('TWITTER_CLIENT_SECRET'),
        'redirect'      => env('TWITTER_REDIRECT_URI'),
        'oauth'         => 2
    ]

需求：实现完全无状态的Twitter OAuth授权URL生成，绕过会话依赖，适配SPA场景。

解决方案 #

1. 手动构建授权URL（彻底规避Socialite会话依赖） #

Socialite的redirect()方法底层默认会将state参数存储到会话，即使stateless()也无法完全清除这个逻辑。直接手动组装Twitter OAuth2的授权URL是最直接的无状态方案：

use Illuminate\Support\Str;

public function getSocialRedirect(Request $request, string $provider)
{
    if ($provider !== 'twitter') {
        abort(400, 'Invalid provider');
    }

    // 读取配置
    $clientId = config('services.twitter.client_id');
    $redirectUri = config('services.twitter.redirect');
    $scopes = ['tweet.read', 'users.read']; // 根据业务需求调整权限范围

    // 生成随机state，供SPA后续验证CSRF使用
    $state = Str::random(40);
    // 生成PKCE code verifier和challenge（SPA必须启用PKCE）
    $codeVerifier = Str::random(64);
    $codeChallenge = rtrim(strtr(base64_encode(hash('sha256', $codeVerifier, true)), '+/', '-_'), '=');

    // 组装授权URL参数
    $authParams = http_build_query([
        'client_id' => $clientId,
        'redirect_uri' => $redirectUri,
        'response_type' => 'code',
        'scope' => implode(' ', $scopes),
        'state' => $state,
        'code_challenge' => $codeChallenge,
        'code_challenge_method' => 'S256',
    ]);

    $authUrl = 'https://twitter.com/i/oauth2/authorize?' . $authParams;

    // 返回授权URL、state和code_verifier（SPA需存储这两个值用于后续回调验证）
    return response()->json([
        'url' => $authUrl,
        'state' => $state,
        'code_verifier' => $codeVerifier,
    ]);
}

2. 自定义Socialite驱动（保留Socialite语法，移除会话依赖） #

如果希望继续使用Socialite的链式API，可以自定义Twitter驱动，重写相关方法跳过会话存储：

步骤1：创建自定义驱动类

namespace App\Socialite;

use Laravel\Socialite\Two\TwitterProvider;

class StatelessTwitterProvider extends TwitterProvider
{
    // 跳过会话存储，直接使用传入的state参数
    protected function getState()
    {
        return $this->parameters['state'] ?? parent::getState();
    }

    // 重写redirect方法，直接返回授权URL而非依赖会话的重定向响应
    public function redirect()
    {
        return $this->getAuthUrl() . '?' . http_build_query($this->getAuthorizationUrlParameters());
    }
}

步骤2：注册自定义驱动

在app/Providers/AppServiceProvider.php的boot方法中注册：

use Laravel\Socialite\Facades\Socialite;
use App\Socialite\StatelessTwitterProvider;

public function boot()
{
    Socialite::extend('twitter-stateless', function ($app) {
        $config = $app['config']['services.twitter'];
        return Socialite::buildProvider(StatelessTwitterProvider::class, $config);
    });
}

步骤3：控制器中使用自定义驱动

use Illuminate\Support\Str;

public function getSocialRedirect(Request $request, string $provider)
{
    try {
        $state = Str::random(40);
        $scopes = ['tweet.read', 'users.read'];

        $url = Socialite::driver('twitter-stateless')
            ->scopes($scopes)
            ->with(['state' => $state])
            ->redirect();

        return response()->json([
            'url' => $url,
            'state' => $state,
        ]);
    } catch (\Exception $e) {
        throw $e;
    }
}

核心注意事项 #

• 强制启用PKCE：SPA属于公共客户端，无法安全存储client_secret，Twitter OAuth2要求必须使用PKCE验证流程，否则会拒绝授权请求。
• State参数验证：SPA必须存储生成的state参数，在回调接口中验证返回的state是否一致，防止CSRF攻击。
• 无状态回调处理：后续的授权码交换接口同样要使用stateless()方法，通过code、code_verifier和state完成验证，全程不依赖会话。

内容的提问来源于stack exchange，提问作者Paul Kourouma