如何实现Laravel 4版本单点登录？现有代码无法正常工作

嘿，我来帮你搞定Laravel 4里这个单点登录的问题！你的思路方向是对的，但可能忽略了几个Laravel 4会话机制的细节，咱们一步步捋清楚：

第一步：修复会话ID的保存时机 #

你需要确保在用户成功登录时才更新last_session，而不是随便某个时机。比如在Auth::attempt()成功之后：

if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // 登录成功后，更新用户的last_session为当前会话ID
    Auth::user()->last_session = session_id();
    Auth::user()->save();
    return Redirect::intended('/');
}

这样能保证只有登录时才记录有效的会话ID，避免其他操作误覆盖。

第二步：全局中间件验证会话有效性 #

Laravel 4的中间件是全局验证的关键，你需要创建一个中间件来检查每个请求的会话ID是否匹配用户的last_session：

1. 创建中间件文件app/Http/Middleware/CheckSingleSession.php（如果目录不存在就新建）：

<?php

use Illuminate\Support\Facades\Auth;

class CheckSingleSession
{
    public function handle($request, Closure $next)
    {
        // 如果用户已登录
        if (Auth::check()) {
            // 对比当前会话ID和用户记录的会话ID
            if (session_id() !== Auth::user()->last_session) {
                // 登出当前用户
                Auth::logout();
                // 跳转到登录页并提示
                return Redirect::to('/login')->with('error', '你的账号已在其他设备登录');
            }
        }

        return $next($request);
    }
}

2. 注册中间件到全局：打开app/start/global.php，添加中间件到全局栈：

App::middleware([
    'Illuminate\Foundation\Http\Middleware\CheckForMaintenanceMode',
    'Illuminate\Cookie\Middleware\EncryptCookies',
    'Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse',
    'Illuminate\Session\Middleware\StartSession',
    'Illuminate\View\Middleware\ShareErrorsFromSession',
    // 加入咱们的中间件
    'CheckSingleSession'
]);

注意：要把CheckSingleSession放在StartSession之后，因为会话需要先启动才能获取session_id()。

第三步：处理会话过期和异常情况 #

• 当用户主动登出时，建议清空last_session，避免下次登录时出现异常：

Route::get('/logout', function() {
    if (Auth::check()) {
        $user = Auth::user();
        $user->last_session = null;
        $user->save();
    }
    Auth::logout();
    return Redirect::to('/login');
});

• 如果使用的是database会话驱动，Laravel会自动清理过期会话，但你可以确保last_session在会话过期后不会干扰新登录。

为什么原方案失效？ #

• 验证逻辑的位置问题：如果你的验证代码只在某个控制器里，那么其他路由的请求不会触发检查，用户仍然可以在其他设备登录后继续使用旧会话。
• 会话ID的变化：Laravel 4在某些情况下会重新生成会话ID（比如会话过期、CSRF验证失败、或者配置了regenerate选项），如果你的保存时机不对，就会导致不匹配。
• 并发请求问题：如果多个请求同时触发，可能会出现会话ID还没更新就被验证的情况，登录时的即时更新很重要。

这样调整后，就能实现真正的单点登录——同一账号只能在一个会话中有效，其他设备登录后，旧会话会被强制登出。

内容的提问来源于stack exchange，提问作者Egnate