Laravel 5.6如何实现无数据库的API身份认证？

你现在的思路完全没问题——自定义UserProvider和Authenticatable实现类正是Laravel扩展认证系统的标准操作，完全适配你这套无需数据库的次级API认证需求。接下来我会一步步帮你补全代码，再给你几个更简单的替代方案参考。

一、补全自定义认证代码 #

1. 完善Alumni.php（Authenticatable实现类） #

这个类负责存储认证成功后的用户标识信息，只需要实现Authenticatable接口的所有方法即可：

<?php

namespace App\Auth;

use Illuminate\Contracts\Auth\Authenticatable;

class Alumni implements Authenticatable
{
    // 存储用户核心信息（比如API密钥、用户名）
    private $attributes = [];

    // 初始化时传入用户数据
    public function __construct(array $attributes = [])
    {
        $this->attributes = $attributes;
    }

    public function getAuthIdentifierName()
    {
        // 返回我们用来标识用户的字段名，比如'api_key'
        return 'api_key';
    }

    public function getAuthIdentifier()
    {
        // 返回用户的唯一标识值
        return $this->attributes[$this->getAuthIdentifierName()] ?? null;
    }

    public function getAuthPassword()
    {
        // 无数据库场景下无需密码，返回null即可
        return null;
    }

    public function getRememberToken()
    {
        // 无需记住登录，返回null
        return null;
    }

    public function setRememberToken($value)
    {
        // 空实现，不需要处理记住登录逻辑
    }

    public function getRememberTokenName()
    {
        // 空实现
        return null;
    }

    // 可选：添加获取其他用户信息的方法
    public function getName()
    {
        return $this->attributes['name'] ?? '匿名用户';
    }
}

2. 完善AlumniAuthProvider.php（UserProvider实现类） #

这个类是认证的核心，负责验证请求中的凭证（比如API密钥）是否合法：

<?php

namespace App\Auth;

use Illuminate\Contracts\Auth\Authenticatable;
use Illuminate\Contracts\Auth\UserProvider;

class AlumniAuthProvider implements UserProvider
{
    // 模拟合法的API密钥与用户信息（实际可从配置/环境变量/外部接口获取）
    private $validCredentials = [
        'abc123' => ['name' => 'John Doe', 'api_key' => 'abc123'],
        'def456' => ['name' => 'Jane Smith', 'api_key' => 'def456'],
    ];

    public function retrieveById($identifier)
    {
        // 根据唯一标识（API密钥）返回用户实例
        foreach ($this->validCredentials as $cred) {
            if ($cred['api_key'] === $identifier) {
                return new Alumni($cred);
            }
        }
        return null;
    }

    public function retrieveByToken($identifier, $token)
    {
        // 无数据库场景下无需token登录，返回null
        return null;
    }

    public function updateRememberToken(Authenticatable $user, $token)
    {
        // 空实现
    }

    public function retrieveByCredentials(array $credentials)
    {
        // 从请求凭证中提取API密钥
        $apiKey = $credentials['api_key'] ?? null;
        if (!$apiKey) return null;

        // 验证密钥是否合法，合法则返回用户实例
        return isset($this->validCredentials[$apiKey]) ? new Alumni($this->validCredentials[$apiKey]) : null;
    }

    public function validateCredentials(Authenticatable $user, array $credentials)
    {
        // 验证传入的API密钥是否与用户标识匹配
        $apiKey = $credentials['api_key'] ?? null;
        return $apiKey === $user->getAuthIdentifier();
    }
}

3. 注册自定义Guard与Provider #

在config/auth.php中添加自定义配置：

// 新增provider配置
'providers' => [
    // ... 原有配置
    'alumni' => [
        'driver' => 'alumni',
        'model' => App\Auth\Alumni::class,
    ],
],

// 新增guard配置（无状态API推荐用token驱动）
'guards' => [
    // ... 原有配置
    'alumni-api' => [
        'driver' => 'token',
        'provider' => 'alumni',
        'storage' => false, // 不存储token到数据库
    ],
],

然后在App\Providers\AuthServiceProvider.php的boot方法中注册自定义Provider驱动：

use App\Auth\AlumniAuthProvider;
use Illuminate\Support\Facades\Auth;

public function boot()
{
    $this->registerPolicies();

    // 注册自定义alumni认证驱动
    Auth::provider('alumni', function ($app, array $config) {
        return new AlumniAuthProvider();
    });
}

4. 使用自定义Guard保护API路由 #

在routes/api.php中添加认证路由：

// 登录验证路由
Route::post('/alumni/login', function (\Illuminate\Http\Request $request) {
    $credentials = $request->only('api_key');

    if (Auth::guard('alumni-api')->attempt($credentials)) {
        return response()->json([
            'message' => '登录成功',
            'user' => Auth::guard('alumni-api')->user()
        ]);
    }

    return response()->json(['message' => '无效的API密钥'], 401);
});

// 受保护的API路由
Route::middleware('auth:alumni-api')->get('/alumni/profile', function () {
    return auth()->user();
});

二、其他可行的无数据库API认证方案 #

如果觉得自定义认证组件太繁琐，还可以试试这两种更简单的方式：

1. 自定义API密钥中间件 #

直接写一个中间件验证请求中的API密钥，无需修改Laravel认证系统：

// 创建中间件：php artisan make:middleware VerifyAlumniApiKey
<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class VerifyAlumniApiKey
{
    // 合法API密钥列表
    private $validKeys = ['abc123', 'def456'];

    public function handle(Request $request, Closure $next)
    {
        // 从请求头或参数中获取API密钥
        $apiKey = $request->header('X-API-Key') ?? $request->input('api_key');

        if (!$apiKey || !in_array($apiKey, $this->validKeys)) {
            return response()->json(['message' => '无效的API密钥'], 401);
        }

        // 将用户信息绑定到请求中
        $request->attributes->set('alumni_user', [
            'name' => $apiKey === 'abc123' ? 'John Doe' : 'Jane Smith',
            'api_key' => $apiKey
        ]);

        return $next($request);
    }
}

在app/Http/Kernel.php中注册中间件后，就可以用它保护路由：

// 在$routeMiddleware中添加
'alumni.api' => \App\Http\Middleware\VerifyAlumniApiKey::class,

// 路由使用示例
Route::middleware('alumni.api')->get('/alumni/profile', function (Request $request) {
    return $request->get('alumni_user');
});

2. 使用Laravel Passport客户端凭证模式 #

如果需要规范的OAuth2认证流程，可以用Passport的客户端凭证模式，无需用户数据库：

1. 安装Passport：composer require laravel/passport
2. 在AuthServiceProvider中注册Passport：

use Laravel\Passport\Passport;

public function boot()
{
    $this->registerPolicies();
    Passport::routes();
    Passport::tokensCan([
        'alumni-access' => '访问校友API',
    ]);
}

3. 创建客户端：php artisan passport:client --client
4. 使用client_credentials中间件保护路由：

Route::middleware('client_credentials')->get('/alumni/profile', function () {
    return request()->user(); // 返回客户端实例
});

内容的提问来源于stack exchange，提问作者Juniko Dwi Putra