Laravel跨服务器多应用一键登录会话未生效问题及方案咨询

你现在的代码跑不通、无法建立有效登录态的问题出在3个核心层面：

• 首先是HTTP请求写法错误：Laravel Http 门面发送POST请求时，headers 不能和请求参数平级放在第二个数组参数里，你当前写法的请求头根本没有被正确发送到App2。不过这个不是登录失效的核心原因——毕竟App2的/api/login本身是公开接口，不需要传Authorization头就能访问。
• 最核心的逻辑错误：你是用App1的后端服务器发起请求拿App2的Sanctum令牌，令牌只返回给了App1后端，根本没有传递到用户的浏览器端。Sanctum的API令牌认证逻辑要求，客户端（用户浏览器）每次向App2发请求时，必须主动在请求头携带Authorization: Bearer {令牌}才能被识别为登录状态。现在令牌只存在App1后端的接口响应里，用户浏览器既没存储这个令牌，访问App2时也不会携带，App2自然识别不到登录态。
• 安全和通用性缺陷：你在代码里硬编码了App2侧用户的邮箱和明文密码，不仅完全无法适配多用户场景，还存在严重的密码泄露风险，一旦App1的代码泄露，所有对应App2的账号都会被盗；如果用户在App2修改了密码，这套硬编码逻辑会直接失效。

你现在的实现思路从根上就不适合跨服务器、独立数据库的应用单点登录场景，正确的轻量实现应该用临时签名票据方案，不需要在两个应用间传输用户明文密码，安全性和通用性都有保障，实现步骤如下：

• 两个应用提前约定一个仅双方后端知晓的对称签名密钥，分别存到各自的.env配置文件中，禁止对外泄露。
• 当用户在App1（Fortify认证）已经处于登录状态，点击「一键登录App2」按钮时，App1后端执行以下逻辑：
  • 获取当前登录用户的唯一关联标识（比如两边共通的邮箱、手机号，或者提前同步的全局用户UUID）
  • 生成一个随机、唯一的临时票据（比如40位随机字符串），设置10秒以内的极短过期时间，将「票据、对应用户标识、过期时间戳」存入App1侧的高速缓存（如Redis），缓存键就用临时票据本身
  • 用提前约定的签名密钥，对「用户标识+时间戳+临时票据」做HMAC签名，防止参数被篡改
  • 直接给用户浏览器返回302重定向，跳转到App2提前预留的一键登录回调地址，重定向Query参数带上临时票据、时间戳、签名值
• App2收到重定向请求后执行校验逻辑：
  • 首先校验时间戳是否超出有效期，再用本地存储的签名密钥对传入参数重新计算签名，和传入的签名值做比对，不一致直接拒绝请求
  • 签名校验通过后，App2后端带着参数里的临时票据，向App1的内部票据校验接口发起请求（这个接口同样要加签名校验，仅允许App2后端调用）
  • App1收到校验请求后，查询缓存中是否存在对应票据、是否过期，校验通过则返回对应的用户标识，之后立刻删除缓存中的该票据，防止被截获后重放攻击
  • App2拿到有效用户标识后，在本地数据库查询对应用户（不存在可按需自动注册），直接为该用户建立登录态：如果是Web页面访问就写Sanctum会话Cookie，如果是API访问就生成Sanctum令牌下发给客户端存储
  • 最后重定向到App2的业务首页，此时用户在App2侧就已经处于有效登录状态，全程不需要输入账号密码，也不会出现登录态丢失的问题。

内容的提问来源于stack exchange，提问作者MAHA OUEGHLANI