如何在基于Laravel Passport的API中实现超级管理员切换登录其他角色用户

我看了你写的切换用户代码，发现几个需要调整的关键点——毕竟Laravel Passport是基于token的API认证体系，和传统的session登录逻辑不太一样，直接用Auth::login()没法生成有效的Passport令牌。下面给你梳理问题点，再给出完整的改进方案：

现有代码的问题 #

• Auth::login($notaryUser)在API场景下不会生成Passport访问令牌，前端没法用这个登录态请求接口
• 缺少超级管理员权限校验，任何用户都能调用这个接口的话会有巨大安全风险
• 没有处理目标用户不存在的异常情况
• 注释掉的scope逻辑可以保留，因为Passport令牌最好关联用户的角色权限

改进后的完整实现 #

use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Arr;

public function masqueradeNotary($profileId)
{
    // 1. 先校验当前登录用户是超级管理员
    $currentUser = Auth::user();
    if (!$currentUser->hasRole('super-admin')) { // 假设你的超级管理员角色标识是super-admin
        return response()->json(['message' => '无权限执行此操作'], 403);
    }

    $userId = decodeC($profileId);
    $notaryUser = $this->adminService->getUser($userId);

    // 2. 验证目标用户是否存在
    if (!$notaryUser) {
        return response()->json(['message' => '目标用户不存在'], 404);
    }

    try {
        // 3. 撤销当前用户的所有有效令牌（如果只撤销当前使用的令牌，可以用auth()->user()->token()->revoke()）
        $currentUser->tokens()->delete();

        // 4. 获取目标用户的角色scope
        $scopes = $notaryUser->roles()->pluck('code')->toArray();

        // 5. 为目标用户生成新的Passport访问令牌
        $token = $notaryUser->createToken(
            sprintf('%s-%s', $notaryUser->email, now()),
            $scopes
        );

        // 6. 返回新的令牌信息给前端
        return response()->json([
            'access_token' => $token->accessToken,
            'token_type' => 'Bearer',
            'expires_at' => $token->token->expires_at->toDateTimeString(),
            'user' => $notaryUser->only('id', 'name', 'email')
        ]);
    } catch (\Exception $e) {
        \Log::error('切换用户失败: ' . $e->getMessage());
        return response()->json(['message' => '切换用户失败'], 500);
    }
}

关键细节说明 #

• 权限校验：一定要先判断当前用户是超级管理员，避免越权操作
• 令牌处理：撤销当前用户的令牌是为了防止原登录态继续有效，如果你想保留原用户的其他登录设备，可以只撤销当前使用的令牌（auth()->user()->token()->revoke()）
• Scope关联：把用户角色的code作为令牌的scope，后续可以在接口中用scope:xxx中间件校验权限
• 异常处理：捕获切换过程中的异常，避免服务器报错，同时记录日志方便排查问题

前端配合说明 #

前端拿到新的令牌后，需要替换掉原来的Authorization头（Bearer 新令牌），之后的所有请求都会以目标用户的身份执行。

内容的提问来源于stack exchange，提问作者Web developer