基于Laravel Sanctum实现用户impersonate功能的方案与安全问题咨询

• 前端侧做令牌分层存储：发起模拟请求时，不要覆盖本地原有的管理员Bearer令牌，单独开辟存储字段（例如localStorage.impersonate_token）存储返回的模拟用户令牌。后续接口请求优先读取impersonate_token作为Authorization请求头的值，不存在时才使用管理员原始令牌。
• 退出模拟逻辑无需触达管理员令牌：前端触发退出模拟操作时，仅需要删除本地存储的impersonate_token即可自动恢复管理员身份。如果需要提前作废模拟令牌避免泄露风险，可以额外调用后端接口删除当前使用的模拟令牌，对应后端逻辑示例：

public function leaveImpersonate()
{
    // 仅删除当前请求对应的模拟令牌，完全不涉及管理员的原始令牌
    auth()->user()->currentAccessToken()->delete();
    return ['status' => 'success'];
}

• 后端可选扩展优化：给personal_access_tokens表新增impersonated_by字段，生成模拟令牌时将当前登录的管理员ID存入该字段，既可以用于后续操作追溯，也支持管理员批量清理自己发起的所有未过期模拟令牌。

• 无权限校验逻辑：当前提供的impersonate方法完全没有校验请求发起者的管理员身份，也没有校验被模拟用户是否为非管理员，任意登录用户只需传入用户ID即可获取任意账号的访问令牌，存在越权风险。
• 令牌无过期限制：调用createToken方法时未指定过期时间，默认配置下Sanctum令牌为永久有效，即使模拟结束，只要令牌泄露就可以长期登录被模拟账号。
• 无操作追溯能力：生成模拟令牌时没有记录发起方、发起时间等关联信息，出现操作纠纷或安全问题时无法溯源。
• 无令牌特征区分：所有模拟令牌的名称完全一致，无法从令牌列表中快速识别模拟类令牌，也无法批量回收特定管理员发起的模拟令牌。

附优化后的模拟接口参考实现：

public function impersonate($userId)
{
    // 校验当前用户是管理员
    if (!auth()->user()->is_admin) {
        abort(403, '无权限进行身份模拟');
    }
    $targetUser = User::findOrFail($userId);
    // 校验被模拟用户不是管理员
    if ($targetUser->is_admin) {
        abort(403, '无法模拟管理员账号');
    }
    // 生成带2小时有效期的模拟令牌，名称加入发起者ID便于识别
    return $targetUser->createToken(
        'IMPERSONATE token by ' . auth()->id(),
        ['*'],
        now()->addHours(2)
    );
}

内容的提问来源于stack exchange，提问作者Christoffer