Laravel基于Passport实现简易SSO时跨页Auth空值与login方法报错问题

这个简易SSO方案完全可行，匹配你方当前不依赖第三方付费工具、仅和客户侧系统做身份打通的需求，落地时建议补充几个安全规则规避风险：

• 第三方存储的无过期Bearer token必须加密存储，传输全程走HTTPS，避免token泄露导致身份冒用
• 补充token失效接口，用户在第三方侧登出时，第三方必须调用该接口主动注销我方Passport对应的token
• 有条件的话建议给长期token设置过期刷新机制，降低泄露后的风险窗口

问题1：跳转后Auth::user()返回空值 #

核心原因是承接Bearer token的路由默认走了API路由组，Laravel的API路由组默认没有启用Session中间件，调用登录后生成的用户状态没有地方存储，跳转新页面自然读取不到登录态。

问题2：Method Illuminate\Auth\RequestGuard::login does not exist 报错原因 #

当前请求通过Bearer token校验，默认使用的是api guard，Passport驱动的api guard本身没有提供login方法，只有使用session驱动的web guard才支持login方法写入登录态到Session。

修复步骤 #

1. 把承接token校验的路由调整到web路由组，或者手动给该路由加上web中间件，确保Session功能正常启用
2. 修改登录逻辑，明确指定使用web guard执行登录操作，修正后的代码如下：

public function authenticate()
{
    // 这里的Auth默认用api guard，通过Passport token拿到校验通过的用户
    $user = Auth::user();
    Log::info($user);
    // 前置校验逻辑省略
    
    // 明确指定web guard执行登录，写入session
    Auth::guard('web')->login($user);
    // 不需要重复通过邮箱查用户，已经通过token校验的$user本身就是合法用户对象
    Log::info(Auth::guard('web')->user());
    return redirect('/你要跳转的站内页面');
}

3. 你之前写的Auth::attempt逻辑可以完全删除，你已经通过Passport token完成了用户身份校验，不需要再走账号密码校验逻辑，多余的attempt反而会因为缺少密码字段校验失败。

验证逻辑 #

调整后登录成功跳转其他站内页面，直接用Auth::user()（默认取web guard的用户）就能正常拿到已登录的用户信息。

内容的提问来源于stack exchange，提问作者rod james