如何从已登录的纯PHP网站跳转至Laravel并实现自动登录？

你的思路方向是对的，但要重点解决数据传输安全和防篡改的问题，避免出现泄露或伪造用户凭证的风险。结合Laravel 11 + Sanctum的特性，给你梳理一套落地的方案：

核心前提 #

两个系统（纯PHP站 + Laravel站）必须共享同一套加密密钥（用Laravel的APP_KEY即可，注意APP_KEY格式是base64:xxx，纯PHP端需要先解码成原始密钥），同时确保双方都使用相同的加密算法（Laravel默认用AES-256-CBC）。

具体实现步骤 #

1. 纯PHP站生成安全跳转链接 #

不要直接传加密后的完整用户数据，只加密用户唯一标识（比如邮箱、user_id），同时给URL添加签名防止篡改：

// 纯PHP端代码示例
$laravelAppKey = base64_decode(str_replace('base64:', '', 'Laravel的APP_KEY值'));
$userId = 123; // 已登录用户的ID
$encryptedUserId = openssl_encrypt(
    $userId,
    'AES-256-CBC',
    $laravelAppKey,
    OPENSSL_RAW_DATA,
    substr($laravelAppKey, 0, 16) // Laravel的IV取密钥前16位
);
$encryptedUserId = base64_encode($encryptedUserId);

// 生成签名（防止URL被篡改）
$signature = hash_hmac('sha256', $encryptedUserId, $laravelAppKey);

// 拼接跳转URL
$redirectUrl = "https://你的Laravel域名.com/auto-login?user_id={$encryptedUserId}&signature={$signature}";

把这个URL绑定到logo的点击事件上即可。

2. Laravel端处理自动登录逻辑 #

第一步：创建路由

在routes/web.php中添加带签名验证的路由（防止非法请求）：

use App\Http\Controllers\AutoLoginController;

Route::get('/auto-login', [AutoLoginController::class, 'handle'])
    ->middleware('signed')
    ->name('auto.login');

注：如果是SPA应用，也可以把路由放在api.php，但要确保Sanctum的配置支持跨域。

第二步：编写控制器逻辑

创建AutoLoginController，处理解密、用户验证、登录并生成Sanctum令牌：

namespace App\Http\Controllers;

use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Crypt;
use App\Models\User;

class AutoLoginController extends Controller
{
    public function handle()
    {
        // 验证签名（路由的signed中间件已经做了，这里额外做一层参数签名校验）
        $encryptedUserId = request()->get('user_id');
        $signature = request()->get('signature');
        $validSignature = hash_hmac('sha256', $encryptedUserId, config('app.key'));
        
        if (!hash_equals($signature, $validSignature)) {
            abort(403, '无效的请求');
        }

        // 解密用户ID
        try {
            $userId = Crypt::decrypt($encryptedUserId);
        } catch (\Exception $e) {
            abort(403, '无效的用户凭证');
        }

        // 查询用户
        $user = User::find($userId);
        if (!$user) {
            abort(404, '用户不存在');
        }

        // 登录用户
        Auth::login($user);

        // 生成Sanctum访问令牌
        $token = $user->createToken('auto-login-token')->plainTextToken;

        // 跳转到前端页面，携带令牌（或设置HttpOnly Cookie）
        // 方案1：把令牌作为URL参数传递给前端
        return redirect()->to("https://你的前端域名.com?token={$token}");
        
        // 方案2：设置HttpOnly Cookie（适合SPA用Sanctum cookie认证）
        // return redirect()->to('https://你的前端域名.com')
        //     ->cookie('sanctum_token', $token, 60*24, null, null, false, true);
    }
}

3. 前端页面处理令牌 #

前端拿到令牌后，将其存储在localStorage或Cookie中，之后请求Laravel接口时，在请求头里带上Authorization: Bearer {token}即可自动认证。

关键安全注意事项 #

• 必须用HTTPS：防止数据在传输过程中被截获。
• 不要传敏感数据：只传用户唯一标识，绝对不能传密码、手机号等敏感信息。
• 签名验证不可少：无论是Laravel的signed中间件还是自定义的HMAC签名，都要确保请求没有被篡改。
• 令牌有效期控制：生成Sanctum令牌时可以指定有效期，比如createToken('auto-login-token', ['*'], now()->addHours(8))，避免令牌长期有效。

内容的提问来源于stack exchange，提问作者Dang Hung