在laravel中实现oauth认证的推荐方式是使用laravel passport。1. 安装passport：通过composer安装包；2. 运行迁移：创建存储客户端和令牌所需的数据库表；3. 安装passport：执行命令生成加密密钥和默认客户端；4. 配置用户模型：引入hasapitokens trait；5. 注册passport路由：在authserviceprovider中调用passport::routes()；6. 配置api认证守卫：将api守卫驱动设为passport。passport提供完整oauth2实现，简化了授权流程、令牌管理和api保护，支持多种授权类型，如个人访问令牌、密码授权、授权码授权（含pkce）和服务凭证授权，适用于不同场景。客户端和令牌生命周期可通过命令创建、配置过期时间、撤销特定或全部令牌来管理，保障系统安全性。
在Laravel中实现OAuth认证，最直接且推荐的方式是使用官方提供的Laravel Passport包。它为你的Laravel应用提供了一个完整的OAuth2服务器实现，极大地简化了令牌的颁发、刷新和验证过程，让你能专注于业务逻辑而非底层协议细节。
要在Laravel中集成OAuth认证，主要步骤围绕Laravel Passport展开：
安装 Passport 包： 首先，通过 Composer 将 Passport 安装到你的项目中。
composer require laravel/passport
运行迁移： 安装完成后，你需要运行数据库迁移，Passport 会创建它所需的所有表，比如存储客户端、访问令牌和刷新令牌的表。
php artisan migrate
安装 Passport： 执行 Passport 的安装命令。这个命令会创建加密密钥（用于签名令牌）和默认的“个人访问客户端”以及“密码授权客户端”。
php artisan passport:install
这些客户端对后续生成令牌非常关键。
配置用户模型：
在你的 App\Models\User 模型中，引入 Laravel\Passport\HasApiTokens trait。这个 trait 提供了方便的方法来管理用户的访问令牌。
<?php
namespace App\Models;
use Illuminate\Contracts\Auth\MustVerifyEmail;
use Illuminate\Database\Eloquent\Factories\HasFactory;
use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Notifications\Notifiable;
use Laravel\Passport\HasApiTokens; // 引入 HasApiTokens
class User extends Authenticatable
{
use HasApiTokens, HasFactory, Notifiable; // 使用 HasApiTokens trait
// ...
}注册 Passport 路由：
在 App\Providers\AuthServiceProvider 文件的 boot 方法中，调用 Passport::routes() 方法。这会注册所有必要的 OAuth 认证路由，例如用于颁发令牌和撤销令牌的路由。
<?php
namespace App\Providers;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;
use Illuminate\Support\Facades\Gate;
use Laravel\Passport\Passport; // 引入 Passport
class AuthServiceProvider extends ServiceProvider
{
/**
* The policy mappings for the application.
*
* @var array
*/
protected $policies = [
// 'App\Models\Model' => 'App\Policies\ModelPolicy',
];
/**
* Register any authentication / authorization services.
*
* @return void
*/
public function boot()
{
$this->registerPolicies();
Passport::routes(); // 注册 Passport 路由
// 如果需要，你也可以在这里定义令牌的过期时间
// Passport::tokensExpireIn(now()->addDays(15));
// Passport::refreshTokensExpireIn(now()->addDays(30));
// Passport::personalAccessTokensExpireIn(now()->addMonths(6));
}
}配置 API 认证守卫：
最后一步是修改 config/auth.php 文件，将 api 守卫的驱动器设置为 passport。这样，当你的 API 路由使用 auth:api 中间件时，Laravel 就会使用 Passport 来验证请求。
// config/auth.php
'guards' => [
'web' => [
'driver' => 'session',
'provider' => 'users',
],
'api' => [
'driver' => 'passport', // 将驱动器改为 passport
'provider' => 'users',
'hash' => false,
],
],完成这些步骤后，你的 Laravel 应用就具备了OAuth2认证的能力。你可以通过 Passport 提供的客户端（如个人访问令牌或密码授权客户端）来生成和验证访问令牌，进而保护你的 API 路由。例如，保护一个路由只需简单地添加 auth:api 中间件：
Route::middleware('auth:api')->get('/user', function (Request $request) {
return $request->user();
});当请求这个 /user 路由时，如果请求头中带有有效的 Passport 令牌，$request->user() 就能获取到当前认证的用户。
Laravel Passport 可以说是 Laravel 官方提供的一站式 OAuth2 解决方案。它不是简单地提供了一些OAuth的工具函数，而是一个完整的、开箱即用的 OAuth2 服务器实现。我个人觉得，Passport 的出现，极大地降低了在 Laravel 应用中实现安全、符合规范的 API 认证的门槛。如果没有它，我们可能需要花费大量时间去理解 OAuth2 协议的各种授权流程、令牌管理、密钥生成等细节，并且要自己编写大量代码来处理这些。
Passport 的简化体现在几个方面：
auth:api 中间件，就能轻松保护你的 API 路由，Passport 会自动验证传入的访问令牌。总的来说，Passport 就像一个“黑盒”，你只需要按照它的规则配置好，它就能为你处理所有 OAuth2 的复杂性，让你能更专注于业务逻辑的实现，而不是陷入认证机制的泥潭。这对于我这种不太想深究底层加密和协议细节的开发者来说，简直是福音。
Laravel Passport 支持多种 OAuth2 授权类型，每种类型都有其特定的适用场景。理解它们之间的区别，并根据你的应用需求选择最合适的类型，是构建安全 API 的关键。我经常看到一些项目，不分青红皂白地都用密码授权，这其实是存在安全隐患的。
个人访问令牌 (Personal Access Tokens - PATs)：
php artisan passport:client --personal 命令可以创建一个个人访问客户端。生成后，用户会得到一个长字符串令牌，直接在请求头中作为 Bearer 令牌使用。密码授权 (Password Grant)：
/oauth/token 路由发送 POST 请求，包含 grant_type=password 以及用户的 username 和 password。Passport 验证后返回 access_token 和 refresh_token。授权码授权 (Authorization Code Grant with PKCE)：
/oauth/authorize 路由，用户在你的应用中同意授权后，浏览器会重定向回客户端的 redirect_uri 并带上一个授权码。客户端再用这个授权码和 code_verifier（PKCE 关键）向 /oauth/token 交换访问令牌。客户端凭证授权 (Client Credentials Grant)：
client_id 和 client_secret 向 /oauth/token 路由请求令牌。在实际项目中，我通常会根据客户端的类型和信任程度来选择授权方式。如果是我的移动应用或SPA，且我能完全控制其代码，可能会考虑密码授权（虽然授权码+PKCE 更优）。但只要涉及到第三方集成，授权码授权是唯一的选择。
管理 OAuth 客户端和令牌的生命周期是确保 API 安全和可控性的重要组成部分。Laravel Passport 提供了一些工具和方法来帮助我们完成这项工作。
客户端管理： OAuth 客户端是你的应用中请求访问令牌的实体。它们可以是你的第一方应用，也可以是第三方应用。
php artisan passport:install 自动创建的两个默认客户端外，你可以通过 php artisan passport:client 命令手动创建新的客户端。php artisan passport:client --name="My Third-Party App" --redirect_uri="http://localhost/callback"
这个命令会生成一个 client_id 和 client_secret。对于授权码授权，redirect_uri 是必须的。
你也可以在代码中通过 Passport::client()->create(...) 来创建客户端。
oauth_clients 表中，personal_access_client 字段表示是否是个人访问令牌客户端，password_client 表示是否是密码授权客户端。revoked 字段则用于标记客户端是否已被撤销。oauth_clients 表中的 revoked 字段为 true 来实现。被撤销的客户端将无法再请求新的令牌。令牌管理： 访问令牌 (Access Tokens) 是客户端访问受保护资源的凭证，而刷新令牌 (Refresh Tokens) 则用于获取新的访问令牌，避免用户频繁重新认证。
oauth_access_tokens 和 oauth_refresh_tokens 表中。AuthServiceProvider 的 boot 方法中配置令牌的过期时间：Passport::tokensExpireIn(now()->addMinutes(30)); // 访问令牌30分钟过期 Passport::refreshTokensExpireIn(now()->addDays(7)); // 刷新令牌7天过期
当访问令牌过期时，客户端可以使用刷新令牌来获取新的访问令牌，而无需用户重新登录。
Auth::user()->token()->revoke(); 来撤销当前用户正在使用的访问令牌。这将使该令牌立即失效。DB::table('oauth_access_tokens')
->where('user_id', $userId)
->update(['revoked' => true]);同时，也应该撤销相关的刷新令牌。
我个人在实际项目中，尤其注重令牌的撤销机制。一个健壮的退出登录流程，不应该仅仅是清除前端的令牌，更重要的是通知后端将该令牌标记为无效。这能有效防止已泄露或不再需要的令牌继续被滥用。此外，定期审查 oauth_clients 和 oauth_access_tokens 表，清理或撤销不再活跃的客户端和令牌，也是维护系统安全性的好习惯。
以上就是如何在Laravel中实现OAuth认证的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告
收藏
收藏
收藏
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
1010
