Laravel中Auth与Role中间件结合使用重定向异常求助

核心问题本质 #

登录后跳回登录页，根源是认证会话未被正确持久化，导致auth中间件仍判定用户未登录，触发循环重定向；移除中间件后直接访问仪表盘，又因缺少认证校验返回403。用view替代redirect时页面能渲染但出现302，说明认证逻辑存在隐性问题，只是绕过了路由层面的跳转。

分步排查与修复 #

1. 修正AuthController登录逻辑 #

确保登录方法正确完成认证并持久化会话，示例代码：

public function login(Request $request)
{
    $credentials = $request->validate([
        'email' => 'required|email',
        'password' => 'required'
    ]);

    // 验证凭证并创建会话，必须确保attempt返回true
    if (Auth::attempt($credentials, $request->has('remember'))) {
        $request->session()->regenerate(); // 防止会话固定攻击

        // 根据角色匹配目标路由，确保路由名称与web.php中一致
        $redirectRoute = match(Auth::user()->role) {
            'admin' => 'admin.dashboard',
            'user' => 'user.dashboard',
            default => 'home'
        };

        return redirect()->intended($redirectRoute); // 优先跳转用户原请求页面
    }

    return back()->withErrors(['email' => '登录凭证无效']);
}

注意：redirect()->intended()比直接redirect()->route()更稳妥，能处理用户登录前访问的受保护页面。

2. 校验web.php路由配置 #

确保仪表盘路由被auth中间件保护，且登录路由未被错误加入认证中间件：

// 受保护的仪表盘路由（必须加auth中间件）
Route::get('/user/dashboard', [UserController::class, 'dashboard'])
    ->name('user.dashboard')
    ->middleware('auth');

Route::get('/admin/dashboard', [AdminController::class, 'dashboard'])
    ->name('admin.dashboard')
    ->middleware('auth');

// 登录路由（禁止加auth中间件，否则会循环重定向）
Route::get('/login', [AuthController::class, 'showLoginForm'])->name('login');
Route::post('/login', [AuthController::class, 'login']);

3. 检查config/auth.php配置 #

确认默认guard为web且使用session驱动：

'defaults' => [
    'guard' => 'web',
    'passwords' => 'users',
],

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
],

若自定义了guard，登录时需明确指定：Auth::guard('web')->attempt($credentials)。

4. 确认kernel.php中间件顺序 #

web中间件组必须包含StartSession，且顺序在Authenticate之前：

protected $middlewareGroups = [
    'web' => [
        \App\Http\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class, // 必须在Authenticate之前
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\VerifyCsrfToken::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],
];

protected $routeMiddleware = [
    'auth' => \App\Http\Middleware\Authenticate::class,
    // 其他中间件...
];

StartSession负责初始化会话，放在Authenticate之前才能让中间件正确读取认证状态。

5. 排查302重定向根源 #

在登录方法末尾加入dd(Auth::check())，验证认证结果：

• 若返回false：说明Auth::attempt()未真正成功，可能是密码哈希不匹配、用户状态禁用或凭证字段错误
• 若返回true：检查浏览器是否允许cookie（尤其是隐私模式），或清除旧会话缓存，本地开发可尝试重启服务并运行php artisan config:clear

额外检查项 #

• 用户模型需实现Illuminate\Contracts\Auth\Authenticatable接口，默认User模型已继承Authenticatable类，无需额外修改
• 确保密码存储时使用Hash::make()加密，避免明文存储导致认证失败

内容的提问来源于stack exchange，提问作者Priyanshi