如何解决Laravel登录API默认会话在生产服务器无法管理的问题

核心问题说明 #

• 现有登录代码仅完成了身份合法性校验，未调用Laravel内置的会话/认证逻辑写入登录态，是无法管理默认会话的主要原因
• Laravel 默认api路由组为无状态设计，未加载会话启动中间件，不会自动处理会话数据

解决步骤 #

1. 修改登录逻辑，主动写入会话登录态 #

修正后的登录代码如下：

use App\Models\User;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Validator;
use Illuminate\Support\Facades\DB;

public function login(Request $request)
{
    $validator = Validator::make($request->all(),[
        'user_id' => ['required'],
        'user_token' => ['required'],
        'project_token' => ['required'],
    ]);

    if ($validator->fails()){
        return response()->json([
            'success' => false,
            'errors' => $validator->errors()->toArray()
        ]);
    }

    // 改用模型查询获取用户实例，适配Laravel认证体系
    $user = User::where('user_id', $request->user_id)
        ->where('user_token',$request->user_token)
        ->where('project_token',$request->project_token)
        ->first();

    if($user){
        // 触发Laravel默认会话写入逻辑，后续可直接通过Auth门面管理登录态
        Auth::login($user);
        // 如需自定义会话字段可手动添加
        session()->put('project_token', $request->project_token);
        session()->save();

        return response()->json([
            'success' => 'true',
            'user_info' => $user
        ]);
    }else{
        return response()->json([
            'success' => 'false',
            'reason' => 'Your user id, user token or project token invalid!',
        ], 401);
    }
}

2. 配置生产环境会话参数 #

修改项目根目录.env文件的以下配置项：

• SESSION_DRIVER：生产环境建议使用database或redis，不要用默认file驱动，避免分布式部署会话不同步、服务器文件权限异常问题
• SESSION_DOMAIN：配置为生产环境实际域名，格式为.yourdomain.com，保证根域名和子域名可共享会话
• SESSION_SECURE_COOKIE：站点启用HTTPS必须设为true，否则浏览器会拦截会话Cookie写入
• SESSION_SAME_SITE：建议设为lax，避免跨站请求会话被拦截
• SESSION_LIFETIME：设置会话有效期，单位为分钟

3. 调整路由中间件配置 #

Laravel默认api路由组未加载会话相关中间件，可通过两种方式调整：

• 直接将会话相关的API路由放到routes/web.php文件中，自动继承web中间件组的会话逻辑
• 若要保留在api路由组，可在app/Http/Kernel.php的api中间件数组中添加以下内容：

  protected $middlewareGroups = [
      'api' => [
          \App\Http\Middleware\EncryptCookies::class,
          \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
          \Illuminate\Session\Middleware\StartSession::class,
          // 若不需要CSRF校验可注释下一行
          \App\Http\Middleware\VerifyCsrfToken::class,
          'throttle:api',
          \Illuminate\Routing\Middleware\SubstituteBindings::class,
      ],
  ];
  

4. 前后端分离场景适配 #

如果是前后端分离架构，需额外配置：

• 修改config/cors.php文件中的supports_credentials为true
• 前端发送请求时必须开启withCredentials配置，保证浏览器自动携带会话Cookie

常用会话管理操作 #

• 获取当前登录用户信息：Auth::user()
• 判断用户是否登录：Auth::check()
• 退出登录清除会话：Auth::logout()
• 手动清除指定会话字段：session()->forget('key')
• 清空所有会话数据：session()->flush()

内容的提问来源于stack exchange，提问作者Solaiman Hossain