如何实现非Moodle门户登录后自动同步登录Moodle站点

嘿，作为Moodle新手碰到这种跨站同步登录的需求很正常，我来一步步给你拆解实现思路和具体代码，保证你能看懂上手。

首先得明确一个核心点：Moodle的user_login()是服务器端函数，直接用Curl调用没法让用户浏览器自动登录——因为登录状态是靠浏览器里的会话Cookie维持的，服务器之间的Curl请求不会把Cookie写到用户浏览器里。所以正确的思路是：门户登录成功后，引导用户浏览器跳转到Moodle的一个自定义验证页面，由这个页面完成Moodle的登录并把会话Cookie设置到用户浏览器中。

步骤1：在Moodle端创建自定义自动登录端点 #

我们需要在Moodle根目录下新建一个autologin.php文件，用来处理来自门户的登录验证请求。这个文件要做三件事：验证请求合法性、调用Moodle登录函数、设置会话并跳转。

<?php
// 加载Moodle核心配置，必须第一行引入
require_once(__DIR__ . '/config.php');

// 【重要】双方约定的共享密钥，一定要保密，别泄露给第三方
$shared_secret = 'your_strong_unique_secret_key_here';

// 检查请求参数是否完整
if (!isset($_GET['username'], $_GET['signature'], $_GET['timestamp'])) {
    die('无效请求：缺少必要参数');
}

$username = $_GET['username'];
$signature = $_GET['signature'];
$timestamp = $_GET['timestamp'];

// 1. 验证请求时效性（防止重放攻击，比如限制5分钟内有效）
if (time() - $timestamp > 300) {
    die('请求已过期，请重新尝试');
}

// 2. 验证签名合法性（确保请求来自可信的门户站点）
$expected_signature = hash_hmac('sha256', $username . $timestamp, $shared_secret);
// 用hash_equals避免时序攻击
if (!hash_equals($expected_signature, $signature)) {
    die('签名无效：请求来源不可信');
}

// 3. 根据用户名获取Moodle用户信息
try {
    $user = $DB->get_record('user', ['username' => $username], '*', MUST_EXIST);
} catch (dml_missing_record_exception $e) {
    die('用户不存在于Moodle系统');
}

// 4. 调用Moodle登录函数完成登录
if (user_login($user->username, '', false)) {
    // 【关键】完成登录会话设置，更新用户登录状态
    complete_user_login($user);
    // 跳转至Moodle首页（也可以指定其他页面，比如课程列表）
    redirect(new moodle_url('/'));
} else {
    die('Moodle登录失败，请检查用户状态');
}

步骤2：门户站点（xyz.com）登录成功后的处理 #

当用户在xyz.com完成登录验证后，我们需要生成合法的签名参数，然后引导用户浏览器跳转到Moodle的autologin.php页面。

下面是门户端的PHP示例代码（如果你用其他语言，逻辑是一样的：生成签名、拼接跳转URL）：

<?php
// 用户在xyz.com登录成功后，获取当前登录的用户名
$logged_username = 'current_user_username'; // 替换为实际登录用户的用户名

// 和Moodle端一致的共享密钥
$shared_secret = 'your_strong_unique_secret_key_here';
$timestamp = time();

// 生成签名：用用户名+时间戳+密钥生成HMAC签名
$signature = hash_hmac('sha256', $logged_username . $timestamp, $shared_secret);

// 拼接Moodle自动登录的URL
$moodle_autologin_url = 'https://yzx.com/autologin.php?' . http_build_query([
    'username' => $logged_username,
    'signature' => $signature,
    'timestamp' => $timestamp
]);

// 引导浏览器跳转至Moodle的自动登录页面
header("Location: $moodle_autologin_url");
exit;

关键注意事项（必看！） #

• 密钥保密：共享密钥绝对不能暴露在前端代码里，必须只在双方服务器端配置。
• HTTPS强制：一定要用HTTPS协议传输请求，避免参数被明文窃取。
• 来源限制：可以在Moodle的autologin.php里额外添加IP白名单或者Referer验证，只允许xyz.com的请求访问。
• 避免传递密码：我们全程没有传递密码，靠签名验证身份，这样更安全，也符合隐私规范。
• 测试验证：先在本地环境测试，确保双方密钥一致、参数传递正确，再部署到生产环境。

内容的提问来源于stack exchange，提问作者DHRUV GUPTA