如何在Laravel Passport中为指定客户端动态设置权限范围

嘿，作为Laravel Passport新手，想要摆脱硬编码scope的困扰其实很简单，咱们一步步来实现动态绑定客户端专属的权限范围：

1. 给客户端表添加存储允许Scope的字段 #

首先，我们需要把每个客户端允许的scope存在数据库里，这样才能动态读取。创建一个新的迁移文件：

php artisan make:migration add_allowed_scopes_to_oauth_clients_table

打开生成的迁移文件，添加allowed_scopes字段（推荐用JSON类型，方便存储数组）：

public function up()
{
    Schema::table('oauth_clients', function (Blueprint $table) {
        $table->json('allowed_scopes')->nullable();
    });
}

public function down()
{
    Schema::table('oauth_clients', function (Blueprint $table) {
        $table->dropColumn('allowed_scopes');
    });
}

运行迁移：

php artisan migrate

之后你就可以在数据库里给指定客户端的allowed_scopes字段赋值，比如["admin", "user"]。

2. 扩展Passport客户端模型（可选但推荐） #

为了更方便地读取和处理这个字段，咱们可以给Passport的Client模型加一个访问器，自动把JSON转成数组：

// app/Models/Client.php（如果没有就从Passport复制过来，或者直接扩展）
namespace App\Models;

use Laravel\Passport\Client as PassportClient;

class Client extends PassportClient
{
    public function getAllowedScopesAttribute($value)
    {
        return json_decode($value, true) ?? [];
    }
}

记得在config/auth.php里把Passport的客户端模型指向咱们自定义的这个：

'guards' => [
    // ...其他配置
    'api' => [
        'driver' => 'passport',
        'provider' => 'users',
        'client_model' => App\Models\Client::class, // 新增这行
    ],
],

3. 修改授权请求路由，动态获取Scope #

现在把你原来的路由代码改成动态读取客户端的allowed_scopes：

Route::get('/', function () {
    $clientId = 3; // 这里可以改成动态传入的client_id，比如从请求参数获取
    $client = \App\Models\Client::find($clientId);

    // 处理客户端不存在或者未设置scope的情况
    if (!$client || empty($client->allowed_scopes)) {
        abort(400, '该客户端未配置允许的权限范围');
    }

    // 可选：验证获取到的scope是否是Passport中已定义的有效scope
    $validScopes = collect(\Laravel\Passport\Passport::scopes())->pluck('id')->toArray();
    $allowedScopes = array_intersect($client->allowed_scopes, $validScopes);

    if (empty($allowedScopes)) {
        abort(400, '该客户端配置的权限范围无效');
    }

    $query = http_build_query([
        'client_id' => $clientId,
        'redirect_uri' => 'http://127.0.0.1:8001/callback',
        'response_type' => 'code',
        'scope' => implode(' ', $allowedScopes), // 把数组转成空格分隔的字符串
    ]);

    return redirect('http://127.0.0.1:8000/oauth/authorize?' . $query);
});

如果想更灵活，还可以把client_id改成从请求参数获取，比如：

$clientId = request()->query('client_id');

这样用户访问你的路由时，带上?client_id=3就能自动获取对应客户端的scope了。

额外提示 #

• 如果你需要在授权页面展示客户端的权限范围，也可以用同样的逻辑从数据库读取后渲染到视图里。
• 可以考虑在客户端创建/编辑的后台页面，添加一个多选框来配置allowed_scopes，这样管理起来更方便。

内容的提问来源于stack exchange，提问作者Gabrielle-M