Laravel Socialite 升级Twitch授权范围及存储oauth_token方案咨询

1. 前端（NuxtJS）侧逻辑 #

• 用户点击升级授权按钮时，先校验当前用户已处于登录状态，携带当前用户的登录态凭证（如JWT、Sanctum token）请求后端的授权重定向接口
• 拿到后端返回的Twitch授权页地址后直接跳转，无需额外处理
• 用户完成Twitch授权后，会先跳转到后端回调接口，后端处理完成后会自动跳转回你预先指定的前端页面，可通过跳转参数判断授权是否成功

2. 后端（Laravel）侧逻辑 #

2.1 授权重定向接口 #

• 接口需加登录校验中间件（如Sanctum、JWT中间件），确保只有合法已登录用户可访问
• 校验通过后，调用Socialite生成带自定义scope的授权跳转地址，需传入你需要的全部scope列表（需包含原有登录已授权的scope，避免原有权限被覆盖），同时通过state参数传递用户ID和前端回调地址，用于后续校验和跳转，示例代码：

public function redirectToTwitch(Request $request)
{
    $userId = $request->user()->id;
    $frontendRedirect = env('FRONTEND_URL') . '/twitch-auth-success'; // 可自定义，也可由前端传参指定

    return Socialite::driver('twitch')
        ->scopes(['user:read:email', 'channel:manage:broadcast']) // 替换为你需要的所有scope
        ->with([
            'state' => base64_encode(json_encode([
                'user_id' => $userId,
                'redirect_to' => $frontendRedirect
            ]))
        ])
        ->redirect();
}

2.2 授权回调接口 #

• 先解析回调请求中的state参数，校验解析出的用户ID是否为合法已登录用户，避免CSRF攻击
• 调用Socialite获取Twitch返回的授权数据，校验返回的Twitch用户ID和当前数据库中该用户绑定的Twitch ID是否一致，防止跨用户授权盗用
• 将拿到的oauth_token、refresh_token、token过期时间更新到对应用户的数据库记录中，建议提前在users表新增twitch_oauth_token、twitch_refresh_token、twitch_token_expires_at三个字段存储相关数据，示例代码：

public function handleTwitchCallback(Request $request)
{
    $state = json_decode(base64_decode($request->input('state')), true);
    $user = User::findOrFail($state['user_id']);

    $twitchUser = Socialite::driver('twitch')->user();

    // 校验Twitch用户ID是否和当前用户绑定的一致
    if ($twitchUser->getId() !== $user->twitch_id) {
        return redirect($state['redirect_to'] . '?success=0&msg=invalid_user');
    }

    // 更新令牌数据
    $user->update([
        'twitch_oauth_token' => $twitchUser->token,
        'twitch_refresh_token' => $twitchUser->refreshToken,
        'twitch_token_expires_at' => now()->addSeconds($twitchUser->expiresIn),
    ]);

    return redirect($state['redirect_to'] . '?success=1');
}

2.3 后续Twitch API调用处理 #

• 所有Twitch API请求统一走后端代理，不要将令牌直接返回给前端，避免令牌泄露
• 每次调用API前先校验twitch_token_expires_at是否已过期，若过期则调用Twitch的刷新令牌接口获取新的令牌和过期时间，更新到数据库后再发起请求

内容的提问来源于stack exchange，提问作者Devio__