PHP(Laminas框架)重定向如何携带Authorization Header实现免密登录

首先说明：你直接通过Header("Authorization: Bearer test1234")加头后重定向的方式无效，是因为浏览器处理3xx重定向时，不会保留自定义的Authorization请求头，只会传递少数标准头（如Cookie、Host）。以下是几种可行的替代方案：

1. 共享域Cookie方案（优先推荐，适合同主域场景） #

如果APP_A和APP_B共享主域（比如a.yourdomain.com和b.yourdomain.com），可以将Token存入跨域Cookie，APP_B读取Cookie后完成登录验证。

APP_A端代码（Laminas环境） #

// 登录成功后设置跨主域Cookie
setcookie(
    'auth_bearer_token',
    'Bearer test1234',
    [
        'expires' => time() + 3600, // 1小时有效期
        'path' => '/',
        'domain' => '.yourdomain.com', // 主域，注意前缀的点
        'secure' => true, // HTTPS环境必须启用
        'httponly' => true, // 禁止前端JS读取，防XSS
        'samesite' => 'Lax' // 允许重定向时携带Cookie
    ]
);

header('Location: https://APP_B');
exit;

APP_B端处理 #

// 读取Cookie中的Token并验证
if (isset($_COOKIE['auth_bearer_token'])) {
    $token = $_COOKIE['auth_bearer_token'];
    // 此处执行Token验证逻辑（如解析JWT、调用用户信息接口等）
}

2. OAuth2隐式授权流程（适合跨域无主域场景） #

采用OAuth2的隐式模式，APP_A作为授权服务器，APP_B作为客户端。Token会通过URL哈希传递（仅前端可读取，不会被服务器日志记录，比明文URL参数安全）。

APP_A端重定向逻辑 #

$redirect_uri = 'https://APP_B/callback';
$access_token = 'test1234';

// Token放在URL哈希部分，仅前端可获取
header("Location: {$redirect_uri}#access_token={$access_token}&token_type=Bearer");
exit;

APP_B端处理 #

• 前端JS提取URL哈希中的Token：

const hashParams = new URLSearchParams(window.location.hash.slice(1));
const token = hashParams.get('access_token');

• 前端将Token通过请求头（如Authorization）传给APP_B后端进行验证。

3. 后端代理请求方案（适合跨域且需要后端直接传递会话场景） #

APP_A后端先向APP_B发起带Token的请求，获取APP_B的登录会话Cookie，再将Cookie返回给用户，最后重定向到APP_B。

APP_A端代码（使用GuzzleHttp） #

use GuzzleHttp\Client;

$client = new Client();
// 调用APP_B的会话初始化接口，携带Token
$response = $client->request('POST', 'https://APP_B/api/init-login-session', [
    'headers' => [
        'Authorization' => 'Bearer test1234'
    ]
]);

// 提取APP_B返回的会话Cookie，转发给用户
foreach ($response->getHeader('Set-Cookie') as $cookie) {
    header("Set-Cookie: {$cookie}");
}

// 重定向到APP_B首页
header('Location: https://APP_B');
exit;

注意事项 #

• 需要APP_B提供专门的接口，接收Authorization Token并生成登录会话Cookie。
• 需确保Cookie的SameSite、Domain属性适配跨域场景。

4. 加密URL参数（折中方案） #

如果以上方案都无法实施，可将Token加密后放在URL参数中，避免明文泄露。

APP_A端加密Token #

// 用AES-256-CBC加密Token
$secret_key = 'your-32-byte-secure-key'; // 必须32位长度
$iv = random_bytes(16); // 随机初始化向量
$encrypted_token = openssl_encrypt('test1234', 'AES-256-CBC', $secret_key, OPENSSL_RAW_DATA, $iv);

// 编码后拼入URL
$encoded_token = base64_encode($encrypted_token);
$encoded_iv = base64_encode($iv);

header("Location: https://APP_B?token={$encoded_token}&iv={$encoded_iv}");
exit;

APP_B端解密Token #

$secret_key = 'your-32-byte-secure-key';
$encoded_token = $_GET['token'] ?? '';
$encoded_iv = $_GET['iv'] ?? '';

$encrypted_token = base64_decode($encoded_token);
$iv = base64_decode($encoded_iv);

$token = openssl_decrypt($encrypted_token, 'AES-256-CBC', $secret_key, OPENSSL_RAW_DATA, $iv);
// 验证Token逻辑

内容的提问来源于stack exchange，提问作者DaveMac001