有条件地允许未授权访问Laravel Passport端点

嘿，我之前刚好处理过一模一样的场景，完全不用折腾自定义Guard或者复制端点，Laravel Passport本身就提供了完美的解决方案——客户端凭证授权模式，专门用来处理这种“无需用户登录，仅识别客户端应用”的API调用场景。

下面是具体的实现步骤，一步步来就行：

1. 启用客户端凭证授权 #

首先在app/Providers/AuthServiceProvider.php的boot方法里，添加一行代码启用这个授权模式：

public function boot()
{
    $this->registerPolicies();

    Passport::routes();
    // 启用客户端凭证授权
    Passport::enableClientCredentialsGrant();
}

2. 为每个独立应用创建专属客户端 #

运行Artisan命令生成无用户关联的客户端凭证，每个独立应用对应一个：

php artisan passport:client --client

执行后会提示你输入客户端名称（比如“App A”“App B”），最后会输出client_id和client_secret，把这两个凭证分别发给对应的独立应用保管好——这就是区分不同客户端的关键标识。

3. 配置专属路由和中间件 #

不用修改原来的用户认证端点，新建一个路由组（或者单个路由），使用passport:client_credentials中间件，这个中间件会验证客户端的凭证，并且自动识别调用方：

// routes/api.php
Route::prefix('public')
    ->middleware('passport:client_credentials')
    ->group(function () {
        Route::get('/your-specific-endpoint', [YourApiController::class, 'handlePublicRequest']);
    });

4. 在控制器中识别并处理客户端请求 #

在对应的控制器方法里，你可以直接通过$request->user()获取到当前调用的客户端模型（注意这里的“user”是Passport的Client实例，不是普通用户），通过它的id、name等字段就能区分不同的应用：

public function handlePublicRequest(Request $request)
{
    // 获取当前调用的客户端
    $client = $request->user();
    
    // 比如根据client_id做不同的逻辑处理
    if ($client->id === 1) {
        // 处理App A的请求
    } else if ($client->id === 2) {
        // 处理App B的请求
    }
    
    // 也可以记录客户端调用日志
    Log::info("Client {$client->name} (ID: {$client->id}) accessed the endpoint");
    
    return response()->json(['data' => 'your response']);
}

额外优化建议 #

• 细化权限：可以给不同的客户端设置专属scope，在路由中间件里指定允许的scope，比如middleware('passport:client_credentials,view-data')，然后在创建客户端时分配对应的scope，实现更细粒度的访问控制。
• 凭证安全：提醒独立应用把client_id和client_secret存在安全的地方，不要硬编码到前端代码里；调用API时要通过HTTP Basic Auth或者POST请求发送凭证（Passport会自动处理这两种方式）。
• 避免重复代码：如果原来的端点逻辑和这个公共端点大部分重合，可以把核心逻辑抽成服务类，让两个控制器方法共用，不用复制代码。

这个方案完全基于Passport的原生功能，架构清晰，既满足了“无需用户登录”的需求，又能准确区分不同的客户端应用，比自定义Guard或者复制端点要靠谱得多。

内容的提问来源于stack exchange，提问作者Liam