Apache Kerberos SSO下Laravel结合REMOTE_USER的认证授权咨询

我来帮你搞定这个Kerberos SSO和Laravel认证整合的问题——之前我在企业环境里折腾过几乎一模一样的配置，踩过不少坑，下面是一步步可落地的方案：

因为Apache已经通过Kerberos完成了SSO登录验证，所以Laravel完全不需要处理登录流程，我们只需要把Apache传递的REMOTE_USER变量映射到Laravel的用户模型，然后自动让这个用户“登录”到Laravel的认证系统中，这样后续就能无缝使用Laravel自带的Auth、Gate、Policy等认证授权功能了。

1. 确保Apache正确传递REMOTE_USER到Laravel #

首先要保证Apache把SSO后的用户名通过REMOTE_USER环境变量传给PHP：

• 在你的Apache虚拟主机配置（比如/etc/apache2/sites-available/your-app.conf）里添加：

  # 确保REMOTE_USER被正确传递
  SetEnvIf REMOTE_USER "(.*)" REMOTE_USER=$1
  

• 检查PHP的php.ini配置，确保variables_order = "EGPCS"（默认应该是这个值），这样PHP才能读取到服务器环境变量。
• 测试一下：在Laravel的routes/web.php里加个临时路由，输出$_SERVER['REMOTE_USER']，确认能拿到正确的用户名。

2. 自定义Laravel认证Guard和Provider #

默认的Laravel认证是基于表单登录的，我们需要适配SSO场景：
打开config/auth.php，修改配置：

return [
    'defaults' => [
        // 把默认guard改成我们要创建的sso guard
        'guard' => 'sso',
        'passwords' => 'users',
    ],

    'guards' => [
        // 添加sso guard，用session维持会话
        'sso' => [
            'driver' => 'session',
            'provider' => 'sso_users',
        ],
    ],

    'providers' => [
        // 自定义用户provider，关联你的User模型
        'sso_users' => [
            'driver' => 'eloquent',
            'model' => App\User::class,
        ],
    ],
];

3. 编写SSO自动登录中间件 #

我们需要一个中间件来检查REMOTE_USER，并自动完成Laravel的用户认证：

• 生成中间件：

  php artisan make:middleware AuthenticateSSO
  

• 打开app/Http/Middleware/AuthenticateSSO.php，替换成以下逻辑：

  <?php
  
  namespace App\Http\Middleware;
  
  use Closure;
  use Illuminate\Support\Facades\Auth;
  use App\User;
  
  class AuthenticateSSO
  {
      public function handle($request, Closure $next)
      {
          // 如果用户已经通过Laravel认证，直接放行
          if (Auth::check()) {
              return $next($request);
          }
  
          // 获取Apache传递的REMOTE_USER
          $remoteUser = $request->server('REMOTE_USER');
  
          // 没有拿到用户名，说明没通过Apache的SSO验证，直接拒绝访问
          if (empty($remoteUser)) {
              abort(403, '请先通过企业身份认证');
          }
  
          // 处理可能的域名后缀（比如user@DOMAIN.COM）
          $username = explode('@', $remoteUser)[0];
  
          // 根据用户名查找Laravel用户表，这里假设你的User模型用username字段存储用户名
          $user = User::where('username', $username)->first();
  
          // 如果用户不存在，可以自动创建（根据业务需求决定，也可以返回403）
          if (!$user) {
              $user = User::create([
                  'username' => $username,
                  'email' => "{$username}@your-company.com", // 按需生成邮箱
                  'password' => bcrypt(uniqid()), // SSO登录用不到密码，随便填个加密值
                  // 补充User模型的其他必填字段
              ]);
          }
  
          // 自动登录该用户
          Auth::login($user);
  
          return $next($request);
      }
  }
  

• 在app/Http/Kernel.php里注册这个中间件，找到$routeMiddleware数组，添加：

  'auth.sso' => \App\Http\Middleware\AuthenticateSSO::class,
  

4. 用SSO中间件保护路由 #

把需要登录才能访问的路由组用auth.sso中间件包裹：

Route::group(['middleware' => 'auth.sso'], function () {
    // 你的应用核心路由，比如仪表盘、用户管理等
    Route::get('/dashboard', 'DashboardController@index');
    Route::resource('posts', 'PostController');
});

现在用户已经通过Laravel的Auth系统认证了，你可以完全复用Laravel的授权功能：

• 获取当前用户：和普通登录一样，用Auth::user()或者在控制器方法里注入Illuminate\Contracts\Auth\Authenticatable $user。
• 使用Gate定义权限：在app/Providers/AuthServiceProvider.php的boot方法里添加：

  use Illuminate\Support\Facades\Gate;
  
  public function boot()
  {
      $this->registerPolicies();
  
      Gate::define('manage-posts', function ($user) {
          // 这里可以根据用户的角色、部门等判断权限
          return $user->role === 'editor';
      });
  }
  

• 使用Policy细粒度授权：生成对应模型的Policy（比如php artisan make:policy PostPolicy --model=Post），然后在控制器里用$this->authorize('update', $post);来验证权限。

• MSSQL适配：如果你的用户表字段和默认的User模型不一致（比如用户名存在user_name字段），要修改模型里的查询条件，同时确保$fillable数组包含所有需要批量赋值的字段。
• Kerberos用户名格式：有些环境返回的REMOTE_USER会包含域名或UPN后缀，一定要提前处理成和数据库匹配的纯用户名。
• 用户同步：如果企业AD/Kerberos里有用户角色、部门信息，建议写个定时任务定期同步到Laravel的用户表，避免手动维护权限。
• 安全校验：不要跳过Apache的SSO验证直接访问Laravel，确保所有入口都被Apache的Kerberos配置保护（比如在Apache配置里添加Require valid-user）。

内容的提问来源于stack exchange，提问作者Andreas Zeiner