Laravel Echo自定义authorizer不发请求 私有频道鉴权求解

自定义authorizer完全不触发请求，基本是三类问题：

• 部分版本的laravel-echo检测到未配置默认authEndpoint时，会直接跳过私有频道鉴权流程，不会调用你传入的自定义authorizer函数
• 订阅频道时误用公共频道方法Echo.channel()，公共频道本身不需要鉴权，自然不会触发鉴权请求
• 跨域预检（OPTIONS）请求被后端CORS规则拦截，表面看没发POST请求，实际是请求在预检阶段就被浏览器拦截了

先确认依赖版本匹配：laravel-echo 1.x 配套使用socket.io-client@2.4.0，不要用v3及以上版本的socket.io-client，跨版本默认不兼容。
初始化Echo时显式阻断默认鉴权逻辑，同时确保鉴权请求携带你自定义体系的认证凭证：

import Echo from 'laravel-echo';
import socketio from 'socket.io-client';
import axios from 'axios';

// 从本地存储取你自定义认证体系生成的token
const userToken = localStorage.getItem('your_custom_auth_token');
// 全局给axios配置鉴权头，按需换成你自己的鉴权头字段
axios.defaults.headers.common['Authorization'] = `Bearer ${userToken}`;

window.io = socketio;
window.Echo = new Echo({
    broadcaster: 'socket.io',
    host: `${window.location.hostname}:6001`, // 替换成你自己的echo-server地址端口
    transports: ['websocket'],
    // 关键配置：置空默认鉴权地址，阻断内置鉴权逻辑
    authEndpoint: null,
    authorizer: (channel, options) => {
        return {
            authorize: (socketId, callback) => {
                axios.post('/api/auth/custom', {
                    socket_id: socketId,
                    channel_name: channel.name
                })
                .then(res => callback(false, res.data))
                .catch(err => callback(true, err));
            }
        };
    },
});

注意：订阅私有频道必须用Echo.private('频道名')方法，不要写错成公共频道的channel()方法，否则永远不会触发鉴权。

整个逻辑完全不需要使用Laravel自带的auth守卫，也不需要改routes/channels.php的默认路由，直接在api路由文件里加自定义接口即可：

1. 没装pusher签名依赖的话先执行安装：

composer require pusher/pusher-php-server

2. 加路由，注意把路由挂在你自己实现的自定义认证中间件组后面，不要用auth:api守卫：

// routes/api.php
// 替换成你自己的中间件组名称，确保请求进来时已经通过你的自定义认证逻辑
Route::group(['middleware' => 'custom_auth'], function () {
    Route::post('/auth/custom', function (\Illuminate\Http\Request $request) {
        // 参数校验
        $request->validate([
            'socket_id' => 'required|string',
            'channel_name' => 'required|string',
        ]);

        $socketId = $request->input('socket_id');
        $channelName = $request->input('channel_name');

        // 从请求里取你自定义中间件识别到的当前登录用户，替换成你自己的获取逻辑
        $currentUser = $request->attributes->get('login_user');
        if (!$currentUser) {
            abort(403, '未登录');
        }

        // 自定义权限校验逻辑，按需修改
        // 示例：校验用户是否有权限访问对应私有频道，比如private-user.{id}类型的频道
        if (str_starts_with($channelName, 'private-user.')) {
            $targetUserId = str_replace('private-user.', '', $channelName);
            if ((string)$currentUser->id !== (string)$targetUserId) {
                abort(403, '无频道访问权限');
            }
        }

        // 生成laravel-echo-server认可的鉴权签名，配置和你config/broadcasting.php里pusher连接的配置保持一致即可
        $pusher = new \Pusher\Pusher(
            config('broadcasting.connections.pusher.key'),
            config('broadcasting.connections.pusher.secret'),
            config('broadcasting.connections.pusher.app_id'),
            config('broadcasting.connections.pusher.options')
        );

        return response()->json([
            'auth' => $pusher->socketAuth($channelName, $socketId)
        ]);
    });
});

3. 确保这个接口的CORS配置允许跨域、允许携带Authorization头、允许POST和OPTIONS请求，避免预检被拦。

打开laravel-echo-server的配置文件laravel-echo-server.json，确认两个配置和Laravel端config/broadcasting.php里的pusher配置完全一致：

• appKey和config('broadcasting.connections.pusher.key')一致
• appSecret和config('broadcasting.connections.pusher.secret')一致
  如果两边密钥不匹配，就算接口返回了签名，echo-server也会判定鉴权失败。

打开浏览器F12的网络面板，执行私有频道订阅代码：

Echo.private(`user.${当前登录用户ID}`)
    .listen('.test.event', data => console.log('收到私有频道消息', data))

正常情况下网络面板会出现发往/api/auth/custom的POST请求，接口返回200后即完成私有频道鉴权，可以正常收发消息。

内容的提问来源于stack exchange，提问作者Mohsen Rahimpoor