Laravel API+React多租户架构下模拟登录的安全实现方案咨询

针对你当前用URL传递令牌的安全隐患，这里提供几个更安全的替代方案，适配Laravel Passport + React的架构：

方案一：HttpOnly Secure Cookie 传递模拟令牌 #

这是最安全的方案之一，因为HttpOnly Cookie无法被前端JS读取，能有效防范XSS攻击，且不会暴露在URL、浏览器历史或Referrer中。

实现步骤： #

1. Laravel端处理模拟登录请求：
   超级管理员触发模拟登录时，验证其权限后，生成一个短期有效的模拟令牌（可以用Laravel Passport的临时令牌，或者自定义加密的会话标识），然后设置HttpOnly、Secure、SameSite的Cookie，并重定向到租户前端域名。

   // 生成临时模拟令牌（示例用Passport创建临时令牌）
   $impersonatedUser = TenantUser::find($tenantAdminId);
   $token = $impersonatedUser->createToken('Impersonation Token', [], now()->addMinutes(10))->accessToken;
   
   // 设置HttpOnly Cookie
   return redirect()->to($tenantFrontendUrl)->withCookie(cookie()->forever('impersonate_token', $token, 10, null, null, env('APP_ENV') === 'production', true, true, 'Strict'));
   

2. React前端处理：
   租户前端加载时，后续所有API请求会自动携带该Cookie，Laravel API端通过中间件验证Cookie中的令牌有效性，完成认证。

   // React中Axios请求自动携带Cookie（需配置withCredentials）
   axios.defaults.withCredentials = true;
   

3. Laravel中间件验证：
   新增中间件检查Cookie中的令牌，验证通过后设置当前登录用户为模拟的租户管理员。

方案二：一次性临时授权码 + POST兑换令牌 #

通过短期有效的一次性授权码，避免令牌直接暴露，兑换后立即失效，降低泄露风险。

实现步骤： #

1. Laravel生成授权码：
   超级管理员发起模拟登录请求后，后端生成一个加密的、1分钟有效期的一次性授权码，存储到缓存（带过期时间），然后返回给超级管理员控制台的React前端。

   $authCode = Str::random(64);
   Cache::put('impersonation_auth_code:' . $authCode, $tenantAdminId, 60); // 1分钟过期
   return response()->json(['auth_code' => $authCode, 'tenant_url' => $tenantFrontendUrl]);
   

2. 前端通过POST提交授权码：
   超级管理员控制台的React收到授权码后，创建一个隐藏的表单，以POST方式提交到租户前端的特定路由，避免URL暴露参数。

   const handleImpersonate = (authCode, tenantUrl) => {
     const form = document.createElement('form');
     form.method = 'POST';
     form.action = `${tenantUrl}/impersonate`;
     form.style.display = 'none';
   
     const input = document.createElement('input');
     input.name = 'auth_code';
     input.value = authCode;
     form.appendChild(input);
   
     document.body.appendChild(form);
     form.submit();
   };
   

3. 租户前端兑换令牌：
   租户前端的/impersonate路由接收POST的授权码，调用Laravel API兑换成正式的Passport令牌，随后销毁授权码，将令牌存储到内存或HttpOnly Cookie中用于后续请求。

   // Laravel兑换API
   public function exchangeAuthCode(Request $request) {
     $authCode = $request->input('auth_code');
     $tenantAdminId = Cache::pull('impersonation_auth_code:' . $authCode); // 取出后立即删除
   
     if (!$tenantAdminId) {
       return response()->json(['error' => 'Invalid or expired auth code'], 401);
     }
   
     $user = TenantUser::find($tenantAdminId);
     $token = $user->createToken('Impersonation Token')->accessToken;
     return response()->json(['token' => $token]);
   }
   

方案三：请求头传递令牌（配合前端初始化请求） #

如果不想用Cookie，可在前端跳转后通过初始化请求的Authorization头传递令牌，但需注意前端存储的安全：

1. 超级管理员控制台的React从Laravel获取模拟令牌后，跳转到租户前端时，可通过sessionStorage临时存储（注意：sessionStorage易受XSS攻击，需配合CSP等防护措施）。
2. 租户前端加载时，从sessionStorage取出令牌，在后续API请求中放在Authorization: Bearer {token}头里。
3. 建议令牌设置较短有效期，且使用后立即失效。

关键安全注意事项 #

• 所有令牌/授权码必须设置短期有效期（5-15分钟），降低泄露后的风险。
• 生产环境必须启用HTTPS，避免明文传输。
• 针对模拟登录操作，添加详细的审计日志，记录操作人、时间、租户ID等信息，便于追溯。
• 验证超级管理员的权限必须严格，确保只有授权用户能发起模拟登录。

内容的提问来源于stack exchange，提问作者Majd