Laravel登录后会话令牌变更致购物车无法识别的解决问询

嘿，这个场景我太熟悉了！Laravel默认在用户登录时刷新会话令牌，本质是为了防范会话固定攻击的安全措施，但确实会给你这种用会话令牌关联购物车的逻辑添堵。下面给你两个可行的方案，你可以根据自己的业务需求选：

这个方法最直接，但要先提醒你：禁用会话刷新会带来会话固定攻击的风险，如果你的系统对安全性要求很高，更推荐方案二。

具体操作步骤：

1. 在app/Providers/AuthServiceProvider.php的boot方法里，自定义一个会话Guard，禁用登录时的会话刷新：

public function boot()
{
    $this->registerPolicies();

    Auth::extend('custom_session', function ($app, $name, array $config) {
        // 初始化默认的SessionGuard
        $guard = new \Illuminate\Auth\SessionGuard(
            $name,
            Auth::createUserProvider($config['provider']),
            $app['session.store'],
            $app['request']
        );

        // 关键：禁用登录时自动刷新会话
        $guard->refreshSessionOnLogin = false;

        return $guard;
    });
}

2. 修改config/auth.php，把默认的Guard改成我们自定义的custom_session：

'guards' => [
    'web' => [
        'driver' => 'custom_session', // 替换原来的session
        'provider' => 'users',
    ],
],

这样用户登录后，会话令牌session['_token']就不会变更了，旧会话的购物车也能正常识别。

这个方案更安全，既保留Laravel默认的会话刷新，又能避免购物车丢失，是我更推荐的做法。核心思路是：用户登录成功后，把旧会话关联的购物车商品，合并到用户专属的购物车（用用户ID关联）。

具体操作：
在app/Http/Controllers/Auth/LoginController.php里重写authenticated方法（这个方法会在用户登录成功后自动触发）：

use App\Models\Cart;
use App\Models\CartProduct;
use Illuminate\Support\Facades\DB;

protected function authenticated(Request $request, $user)
{
    // 获取登录前的旧会话令牌
    $oldSessionToken = $request->session()->get('_token');

    // 根据旧令牌找到未登录时的购物车
    $guestCart = Cart::where('session_token', $oldSessionToken)->first();

    if ($guestCart) {
        // 找到当前用户的购物车（没有则自动创建）
        $userCart = Cart::firstOrCreate(['user_id' => $user->id]);

        // 合并购物车商品：累加相同商品的数量，新增不同商品
        $guestProducts = CartProduct::where('cart_id', $guestCart->id)->get();
        foreach ($guestProducts as $product) {
            CartProduct::updateOrCreate(
                ['cart_id' => $userCart->id, 'product_id' => $product->product_id],
                ['quantity' => DB::raw('quantity + ' . $product->quantity)]
            );
        }

        // 清理旧的访客购物车数据
        $guestProducts->each->delete();
        $guestCart->delete();
    }

    // 这里可以添加登录后的其他逻辑，比如跳转到首页或用户中心
    return redirect()->intended('/');
}

之后你可以调整购物车的查询逻辑：优先根据用户ID查找购物车，如果用户未登录，再根据会话令牌查找。这样不管用户登不登录，购物车都能正常关联。

内容的提问来源于stack exchange，提问作者glembo