如何通过Laravel Socialite限制Google登录仅允许指定域名邮箱

首先明确：Laravel Socialite本身并没有提供开箱即用的邮箱域名限制功能，但我们可以通过几种优雅且安全的方式实现这个需求，比单纯在回调里硬编码验证更灵活。

方法一：在回调中添加域名验证（快速实现） #

你可以直接在现有的回调代码中添加域名校验逻辑，甚至可以把允许的域名配置化，方便后续修改：

步骤1：配置允许的域名（可选但推荐） #

在config/services.php的Google配置中添加允许的域名列表：

'google' => [
    'client_id' => env('GOOGLE_CLIENT_ID'),
    'client_secret' => env('GOOGLE_CLIENT_SECRET'),
    'redirect' => env('GOOGLE_REDIRECT_URI'),
    'allowed_domains' => explode(',', env('GOOGLE_ALLOWED_DOMAINS', 'company.com')),
],

然后在.env文件中设置（支持多个域名用逗号分隔）：

GOOGLE_ALLOWED_DOMAINS=company.com,sub.company.com

步骤2：修改回调代码添加验证 #

更新你的handleProviderCallback方法，加入域名校验：

use Illuminate\Support\Facades\Config;

public function handleProviderCallback($provider)
{
    $user = Socialite::driver($provider)->user();
    $allowedDomains = Config::get("services.$provider.allowed_domains", []);
    
    // 提取邮箱域名并验证
    $emailParts = explode('@', $user->getEmail());
    $emailDomain = end($emailParts);
    
    if (empty($allowedDomains) || !in_array($emailDomain, $allowedDomains)) {
        // 验证失败，跳回登录页并提示错误
        return redirect()->route('login')
            ->withErrors(['email' => '仅允许公司域名邮箱登录']);
    }

    // 原有的用户创建/登录逻辑
    $local_user = User::whereEmail($user->getEmail())->first();
    if (!$local_user) {
        $fragment = explode(' ', $user->getName());
        $local_user = User::create([
            'first_name' => $fragment[0] ?? '',
            'last_name' => $fragment[1] ?? '',
            'email' => $user->getEmail(),
            'last_seen' => Carbon::now(),
            'password' => ''
        ]);
        $local_user->roles()->attach(Role::whereName('User')->first());
    }
    
    auth()->login($local_user);
    return redirect($this->redirectTo);
}

方法二：结合OAuth服务商的后台限制（更安全） #

除了在代码中验证，你还可以直接在Google OAuth应用的后台设置域名限制，从源头拦截非公司域名的用户：

1. 登录Google Cloud控制台，找到你的OAuth应用
2. 进入「OAuth同意屏幕」页面，将用户类型设置为「内部」（仅适用于Google Workspace域名）
3. 添加你的公司域名到允许列表，这样只有该域名下的Google账号才能授权你的应用

这种方式更安全，因为不符合条件的用户根本无法走到你的回调逻辑，同时可以和代码中的验证形成双重保险。

方法三：使用自定义中间件（更优雅的代码组织） #

如果你的项目中有多个社交登录提供商，或者想把验证逻辑和回调逻辑分离，可以创建一个专门的中间件：

1. 创建中间件：php artisan make:middleware CheckSocialiteDomain
2. 在中间件的handle方法中实现域名验证逻辑
3. 将中间件注册到路由中，应用到社交登录的回调路由上

这样可以让回调代码更简洁，验证逻辑也可以复用。

内容的提问来源于stack exchange，提问作者Dessauges Antoine