Laravel 10多Guard登录异常：登录成功却跳转至登录页

问题描述 #

在Laravel应用中实现了管理员切换至客户账号登录的功能（ClientController中的loginAsClient方法），管理员从admin域名调用该接口后，通过info(Auth::user())确认已成功使用web Guard登录客户用户，但重定向至client域名的仪表盘时，却被跳转至client域名的标准登录页，而非预期的仪表盘页面。

相关代码 #

loginAsClient方法 #

public function loginAsClient(Request $request) {
 $id = $request->input('id');

 // 获取Guard和目标URL信息
 $guard = session('guard', 'web'); // 未定义时默认使用"web"
 $urlIntended = session('url.intended', 'dashboard'); // 未定义时默认跳转至"dashboard"

 // 设置当前Guard
 Auth::shouldUse($guard);

 $user = User::find($id);

if ($user) {
    // 登录用户
    Auth::guard($guard)->loginUsingId($user->id, true);

    // 手动设置目标URL
    session(['url.intended' => $urlIntended]);

    info(Auth::user());
    info('当前URL: ' . url()->current());
    info('目标URL: ' . session('url.intended'));

    // 重定向至目标URL并携带Guard信息
    return redirect()->intended($urlIntended)->with('guard', $guard);
 } else {
    return redirect()->back()->with('error', '未找到该客户ID对应的用户');
 }
}

auth.php配置 #

'guards' => [
        'web' => [
            'driver' => 'session',
            'provider' => 'users',
        ],
        'system_users' => [
            'driver' => 'session',
            'provider' => 'system_users',
        ],
    ],
'providers' => [
    'users' => [
        'driver' => 'eloquent',
        'model' => App\Models\User::class,
    ],
    'system_users' => [
        'driver' => 'eloquent',
        'model' => App\Models\SystemUser::class,
    ],

web.php路由配置 #

$domainName = ".com";
if (env('APP_ENV') == 'local') {
    $domainName = ".local";
}
$allowedDomains = ['client' => 'client.domain'.$domainName, 'admin' => 'admin.domain'.$domainName];


    Route::group(['domain' => $allowedDomains["client"]], function () {
       Route::get('/login', [LoginController::class, 'show'])->middleware('guest')->name('login');
       Route::post('/login', [LoginController::class, 'login'])->middleware('guest')->name('login.perform');
    }); 

    Route::group(['domain' => $allowedDomains["admin"]], function () {
        Route::get('/login', [LoginController::class, 'show'])->middleware('guest')->name('loginsystem');
        Route::post('/login', [LoginController::class, 'loginSystem'])->middleware('guest')->name('loginsystem.perform');
    });

Route::group(['middleware' => 'auth'], function () use ($allowedDomains) {
Route::group(['domain' => $allowedDomains["client"]], function () {
        // 仪表盘
        Route::get('/dashboard', [DashboardController::class, 'index'])->name('home')->middleware('auth');
// ...
// ...
    });
});


Route::group(['middleware' => 'auth:system_users'], function () use ($allowedDomains) {
    Route::group(['domain' => $allowedDomains["admin"]], function () {
// 仪表盘
        Route::get('/dashboard', [CooperationController::class, 'index'])->name('admin.dashboard');
        Route::post('/client/login-to-client',[ClientController::class, 'loginAsClient'])->name('login-to-client');

// ...
// ...
    });
});

问题原因 #

1. 跨域名Session隔离：admin与client为不同子域名，Laravel默认Session Cookie绑定当前域名，导致admin域名下生成的web Guard会话无法在client域名下被读取，client域名的auth中间件判定用户未登录。
2. url.intended跨域失效：session('url.intended')存储在admin域名的Session中，跳转至client域名后该Session无法访问，redirect()->intended()会 fallback 到登录页逻辑。
3. 多Guard会话冲突：管理员使用system_users Guard登录的会话与切换后的web Guard会话共存于同一会话中，可能导致中间件验证逻辑混乱。

解决方案 #

1. 配置跨域共享Session Cookie #

修改config/session.php，将domain设置为根域名（如.domain.local或.domain.com），使所有子域名共享同一Session Cookie：

// config/session.php
'domain' => env('SESSION_DOMAIN', '.domain.local'),

2. 优化登录逻辑 #

调整loginAsClient方法，明确指定Guard、清理旧会话、直接使用命名路由跳转：

public function loginAsClient(Request $request) {
    $id = $request->input('id');
    $guard = 'web';
    $user = User::find($id);

    if ($user) {
        // 退出当前管理员会话，避免多Guard冲突
        Auth::guard('system_users')->logout();
        // 使用web Guard登录客户用户
        Auth::guard($guard)->login($user, true);

        // 直接跳转至client域名的仪表盘命名路由
        return redirect()->route('home')->with('success', '已切换至客户账号');
    } else {
        return redirect()->back()->with('error', '未找到该客户');
    }
}

3. 明确路由中间件的Guard #

确保client域名的路由中间件明确指定web Guard，避免歧义：

Route::group(['middleware' => 'auth:web'], function () use ($allowedDomains) {
    Route::group(['domain' => $allowedDomains["client"]], function () {
        Route::get('/dashboard', [DashboardController::class, 'index'])->name('home');
        // 其他客户路由...
    });
});

4. 清理缓存 #

修改配置后，清理Laravel配置缓存与浏览器缓存：

php artisan config:clear
php artisan cache:clear

内容的提问来源于stack exchange，提问作者Dan Rais