Laravel Auth记住登录功能仅在移动端Safari中失效问题求助

问题现象 #

通过Google登录成功后，用Auth::loginUsingId($app_user->id, true)设置“记住登录”，Chrome里关闭浏览器能自动登录，但移动端Safari完全失效；而常规账号密码登录的Auth::attempt($credentials, true)却能在Safari正常生效。

核心原因 #

Laravel的Auth::loginUsingId和Auth::attempt在处理“记住我”的逻辑上有细节差异：

• Auth::attempt会完整执行生成remember_token、更新用户表、设置符合浏览器规范的持久化Cookie整套流程，自动适配Safari的Cookie限制。
• Auth::loginUsingId虽支持$remember参数，但在第三方登录回调这类场景下，可能没正确设置Cookie的SameSite、Secure属性，或未主动更新用户的remember_token，导致Safari的智能跟踪预防（ITP）机制拦截了持久化Cookie。

修复方案 #

手动模拟Auth::attempt的“记住我”逻辑，替代单纯的Auth::loginUsingId：

use Illuminate\Support\Str;
use Illuminate\Support\Facades\Cookie;

if ($google_user) {
    $app_user = $google_user->appUser;
    if ($app_user) {
        // 登录用户
        Auth::login($app_user, true);
        
        // 手动生成并更新remember_token，对齐Auth::attempt的逻辑
        $rememberToken = Str::random(60);
        $app_user->forceFill([
            'remember_token' => hash('sha256', $rememberToken),
        ])->save();
        
        // 设置符合Safari要求的持久化Cookie
        Cookie::queue(
            Cookie::forever(
                'remember_web_' . Auth::getDefaultDriver(),
                $rememberToken,
                config('session.lifetime'),
                null,
                null,
                config('session.secure'),
                true, // 开启HttpOnly
                false,
                config('session.same_site') ?? 'lax'
            )
        );
        
        return redirect('/');
    } 
}

额外注意事项 #

1. 生产环境下，确保config/session.php里的secure设为true，same_site根据场景选'none'（跨域回调场景）或'lax'，Cookie必须带Secure标记，否则Safari会拒绝持久化。
2. 如果是跨域的Google登录回调，Cookie必须设置SameSite=None并开启Secure，这是Safari对跨域Cookie的强制要求。

内容的提问来源于stack exchange，提问作者star