Laravel多租户站点如何通过Microsoft Socialite识别登录来源租户？

1. 发起登录时传递租户标识（利用state参数） #

微软OAuth2协议支持通过state参数传递自定义状态信息，该参数会在登录流程完成后原封不动返回至回调地址。我们可以借助这个特性，将用户发起登录的租户域名/唯一标识加密后存入state。

在租户域名的登录路由对应的控制器方法中，生成登录链接时自定义state参数：

public function redirectToMicrosoft()
{
    // 获取当前请求的域名作为租户标识
    $tenantDomain = request()->getHost();
    // 加密存储租户信息，可选记录用户原访问页面
    $state = encrypt(json_encode([
        'tenant_domain' => $tenantDomain,
        'original_path' => url()->previous()
    ]));

    return Socialite::driver('microsoft')
        ->with(['state' => $state])
        ->redirect();
}

2. 固定Azure回调地址配置 #

确保Azure应用的重定向URI仅配置为domain.com/response，所有租户的登录请求完成后都会统一回到该地址处理。

3. 回调逻辑：解析state并重定向回租户 #

在domain.com/response对应的回调控制器中，先解密返回的state参数获取租户信息，完成用户登录绑定逻辑后，重定向至原租户域名：

public function handleMicrosoftCallback()
{
    // 获取返回的state参数并解密
    $stateData = json_decode(decrypt(request()->get('state')), true);
    $tenantDomain = $stateData['tenant_domain'];
    $redirectUrl = $stateData['original_path'] ?? "https://{$tenantDomain}";

    // 完成Socialite用户信息获取
    $microsoftUser = Socialite::driver('microsoft')->user();

    // 处理租户与用户的关联逻辑（如根据邮箱匹配租户、创建绑定关系）
    // ...

    // 切换至对应租户上下文（Spatie多租户操作）
    $tenant = Tenant::where('domain', $tenantDomain)->firstOrFail();
    $tenant->makeCurrent();

    // 完成用户登录（创建或认证本地用户）
    // ...

    // 重定向回原租户域名或用户原访问页面
    return redirect()->to($redirectUrl);
}

4. 安全校验要点 #

• 必须对state参数加密，防止恶意篡改租户信息导致定向风险。
• 重定向前需验证tenantDomain是系统已注册的合法租户域名，避免跳转到未知站点。
• 处理用户登录时，需确保用户与对应租户的关联关系合法，防止越权访问。

内容的提问来源于stack exchange，提问作者Giles Bennett