Laravel Lumen 8集成JWT后Auth::attempt输入正确仍返回false如何解决

核心原因 #

Laravel/Lumen 默认的Eloquent用户认证提供器使用bcrypt算法做密码哈希校验，和你现有项目使用的MD5加密逻辑不兼容，哪怕传入的凭证值正确，默认校验逻辑也会返回失败。

排查步骤 #

• 先确认基础配置是否正确
  1. 已在bootstrap/app.php中开启Facade支持：取消注释$app->withFacades();
  2. User模型已实现Tymon\JWTAuth\Contracts\JWTSubject接口，完成getJWTIdentifier、getJWTCustomClaims两个必填方法的声明
  3. 用户表密码字段如果不是默认的password，需要在User模型中重写getAuthPassword方法返回对应字段值：

  public function getAuthPassword()
  {
      // 替换为实际密码字段名
      return $this->pwd;
  }
  

• 手动校验数据一致性
  临时添加代码排查数据是否匹配，排除加密逻辑/脏数据问题：

  $user = \App\Models\User::where('email', $request->input('email'))->first();
  if ($user) {
      // 打印确认数据库存储的密码、加密后传入的密码是否一致
      var_dump($user->password, md5($request->input('password')), $user->password === md5($request->input('password')));
      die;
  }
  

  注意如果你的MD5加密逻辑加盐，需要对应拼接盐值再做加密比对

解决方案 #

方案一：直接手动校验生成Token（快速修复） #

不依赖默认的attempt方法，手动查询用户校验密码后直接生成JWT Token，改动最小：

public function login(Request $request)
{
    $email = $request->input('email');
    $pass = $request->input('password');

    $user = \App\Models\User::where('email', $email)->first();
    if (!$user || $user->password !== md5($pass)) {
        return response()->json(['error' => 'Unauthorized'], 401);
    }
    
    // 直接通过用户对象生成token
    $token = auth('web')->login($user);
    return $this->respondWithToken($token);
}

方案二：自定义用户提供器（兼容原生attempt方法） #

如果你需要保留Auth::attempt的使用习惯，可自定义MD5校验的用户提供器：

1. 新建自定义提供器app/Providers/Md5EloquentUserProvider.php：

<?php
namespace App\Providers;

use Illuminate\Auth\EloquentUserProvider;
use Illuminate\Contracts\Auth\Authenticatable as UserContract;

class Md5EloquentUserProvider extends EloquentUserProvider
{
    public function validateCredentials(UserContract $user, array $credentials)
    {
        // 传入的密码已做MD5加密，直接和数据库存储的值比对即可
        return $credentials['password'] === $user->getAuthPassword();
    }
}

2. 注册自定义提供器，在app/Providers/AppServiceProvider.php的boot方法中添加：

public function boot()
{
    \Auth::provider('md5-eloquent', function ($app, $config) {
        return new \App\Providers\Md5EloquentUserProvider($app['hash'], $config['model']);
    });
}

3. 修改config/auth.php的用户提供器配置：

'providers' => [
    'users' => [
        'driver' => 'md5-eloquent', // 替换原来的eloquent
        'model' => App\Models\User::class,
    ]
],

配置完成后就可以正常使用auth('web')->attempt($credentials)方法做认证了。

内容的提问来源于stack exchange，提问作者Daljeet Singh