PHP中CURL跨站登录后重定向自动保持登录状态的解决方案

这个问题的核心在于跨站登录后的Cookie传递——site_another.com是靠Cookie识别用户登录状态的，你用CURL在服务器端登录时，拿到的Cookie只存在于CURL会话里，用户的浏览器完全不知道这回事，所以直接重定向过去自然没有登录状态。

下面是结合Codeigniter框架的具体实现方案：

核心思路 #

1. 用CURL在服务器端完成site_another.com的登录，获取登录后的Cookie信息。
2. 将这些Cookie通过Set-Cookie响应头传递给用户的浏览器。
3. 重定向用户到site_another.com，此时浏览器会带着刚拿到的Cookie请求，从而保持登录状态。

具体代码实现（Codeigniter控制器方法） #

这里提供两种获取Cookie的方式，推荐第二种（直接解析响应头）更准确：

方式一：通过临时Cookie文件获取 #

public function remote_login_redirect() {
    // 1. 配置登录参数
    $login_url = 'https://site_another.com/login';
    $login_credentials = [
        'username' => $this->input->post('username'), // 可从表单接收或配置固定值
        'password' => $this->input->post('password')
    ];

    // 2. 初始化CURL会话，保存Cookie到临时文件
    $temp_cookie = sys_get_temp_dir() . '/sa_cookie_' . uniqid() . '.txt';
    $ch = curl_init($login_url);

    curl_setopt_array($ch, [
        CURLOPT_POST => true,
        CURLOPT_POSTFIELDS => http_build_query($login_credentials),
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_FOLLOWLOCATION => true,
        CURLOPT_COOKIEJAR => $temp_cookie, // 保存登录后的Cookie
        CURLOPT_COOKIEFILE => $temp_cookie, // 后续请求携带Cookie
        CURLOPT_SSL_VERIFYPEER => false, // 若site_another是自签HTTPS，可临时关闭，生产环境建议开启
    ]);

    // 执行登录请求
    $response = curl_exec($ch);
    $http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);

    // 登录失败处理
    if ($http_code !== 200 && $http_code !== 302) {
        $this->session->set_flashdata('error', '远程登录失败，请检查账号');
        redirect('/login');
        curl_close($ch);
        unlink($temp_cookie);
        return;
    }

    // 3. 解析临时Cookie文件，生成Set-Cookie头
    $cookie_content = file_get_contents($temp_cookie);
    $cookie_lines = array_filter(explode("\n", $cookie_content), fn($line) => !str_starts_with($line, '#') && trim($line));
    
    foreach ($cookie_lines as $line) {
        list($domain, $flag, $path, $secure, $expiry, $name, $value) = explode("\t", $line);
        $cookie_header = "$name=$value; Domain=$domain; Path=$path";
        if ($secure === 'TRUE') $cookie_header .= '; Secure';
        if ($expiry !== '0') $cookie_header .= '; Expires=' . date('D, d M Y H:i:s T', $expiry);
        $cookie_header .= '; SameSite=Lax'; // 适配现代浏览器跨域策略
        
        // 把Cookie发送给用户浏览器
        $this->output->set_header("Set-Cookie: $cookie_header");
    }

    // 4. 清理临时文件并重定向
    curl_close($ch);
    unlink($temp_cookie);
    redirect('https://site_another.com/user_dashboard');
}

方式二：直接解析CURL响应头（推荐） #

这种方式不需要临时文件，直接提取site_another.com返回的Set-Cookie头，更准确可靠：

public function remote_login_redirect() {
    $login_url = 'https://site_another.com/login';
    $login_credentials = [
        'username' => 'your_user',
        'password' => 'your_pass'
    ];

    $ch = curl_init($login_url);
    curl_setopt_array($ch, [
        CURLOPT_POST => true,
        CURLOPT_POSTFIELDS => http_build_query($login_credentials),
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_FOLLOWLOCATION => true,
        CURLOPT_HEADER => true, // 让响应包含头信息
        CURLOPT_SSL_VERIFYPEER => true,
    ]);

    $response = curl_exec($ch);
    $http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);

    if ($http_code !== 200 && $http_code !== 302) {
        $this->session->set_flashdata('error', '登录失败');
        redirect('/');
        curl_close($ch);
        return;
    }

    // 分离响应头和响应体
    list($header, $body) = explode("\r\n\r\n", $response, 2);
    // 匹配所有Set-Cookie头
    preg_match_all('/Set-Cookie: (.*?)(?:\r\n|$)/', $header, $matches);
    
    // 直接把site_another返回的Set-Cookie头转发给用户浏览器
    foreach ($matches[1] as $cookie) {
        // 可额外添加SameSite属性（如果原站点没设置）
        if (!str_contains($cookie, 'SameSite')) {
            $cookie .= '; SameSite=Lax';
        }
        $this->output->set_header("Set-Cookie: $cookie");
    }

    curl_close($ch);
    redirect('https://site_another.com/user_dashboard');
}

关键注意事项 #

• 跨域Cookie策略：现代浏览器的SameSite、Secure标志会影响跨域Cookie的传递。如果site_another.com是HTTPS，你的site_my.com也建议使用HTTPS；SameSite属性设置为Lax或None（None需要配合Secure）。
• 临时文件权限：方式一中的临时目录需要服务器有读写权限，可通过chmod($temp_cookie, 0600)确保安全。
• Codeigniter输出顺序：调用redirect()前不要有任何echo或输出内容，否则set_header()可能失效。可在方法开头加ob_start()确保输出缓冲正常。
• 登录验证：务必先验证CURL登录是否成功（通过HTTP状态码或响应内容判断），避免无效Cookie被转发。

总结 #

本质就是把服务器端CURL会话拿到的site_another.com的登录Cookie，转发给用户浏览器，让浏览器在重定向时携带这个Cookie，从而被site_another.com识别为已登录状态。

内容的提问来源于stack exchange，提问作者Fferlen