Laravel项目web与API端用户统一登录最优实现方案咨询

现有中间件方案的缺陷 #

你当前的实现存在三个核心问题：

• 全局挂载会带来不必要的性能开销，不需要web认证的接口也会重复执行登录逻辑
• 未做token有效性校验，存在会话冒用风险
• 会话生命周期和Passport token生命周期不对齐，容易出现token过期但web session仍生效的权限泄露问题

推荐最优方案：登录接口同步发放web会话 #

适配你当前的站点结构，最合理的实现是在Passport登录验证通过的接口逻辑里，直接同步完成web guard的登录，仅需执行一次，无额外请求开销：

// 账号密码验证通过、发放Passport token之后追加如下代码
// $remember 参数和登录页的"记住我"选项保持一致即可
Auth::guard('web')->login($user, $remember);

同域名下Laravel会自动返回web session的cookie，浏览器会自动携带，后续访问Livewire/Blade页面时自然通过web guard认证。如果你的React页面和Livewire页面部署在不同子域名下，只需修改config/session.php中的domain配置为根域名即可，例：.yourdomain.com。

退出登录时记得同时销毁两边的认证状态，避免状态不同步：

auth()->guard('web')->logout();
auth()->guard('api')->user()->token()->revoke();
session()->invalidate();
session()->regenerateToken();

备选方案：优化现有中间件 #

如果不方便修改现有登录接口逻辑，可以优化你当前的中间件实现，仅挂载到需要web认证的Livewire路由上，不要全局挂载：

public function handle(Request $request, Closure $next)
{
    // 确保中间件在 auth:api 之后执行
    if (!auth()->guard('web')->check() && auth()->guard('api')->check()) {
        $user = auth()->guard('api')->user();
        Auth::guard('web')->login($user, true);
        // 同步web session过期时间和Passport token过期时间
        $tokenExpiresAt = auth()->guard('api')->token()->expires_at;
        session()->set('lifetime', now()->diffInMinutes($tokenExpiresAt));
    }
    return $next($request);
}

内容的提问来源于stack exchange，提问作者hamed hosseini