如何在 Laravel Passport 中实现移动端彻底登出并强制重新登录-php教程-PHP中文网

如何在 Laravel Passport 中实现移动端彻底登出并强制重新登录

Laravel Passport 使用授权码 + PKCE 流程时，仅撤销 API Token 并不清除 Web 会话，导致用户再次授权时跳过登录页；需结合会话失效、Token 撤销与 OAuth 强制登录参数（prompt=login）三者协同，才能确保移动端登出后完整重启 OAuth2 流程。

laravel passport 使用授权码 + pkce 流程时，仅撤销 api token 并不清除 web 会话，导致用户再次授权时跳过登录页；需结合会话失效、token 撤销与 oauth 强制登录参数（prompt=login）三者协同，才能确保移动端登出后完整重启 oauth2 流程。

在基于 Laravel Passport 的移动端 OAuth2 集成中，一个常见但易被忽视的安全与体验问题是：调用 /oauth/token/revoke 或手动撤销 Personal Access Token 后，服务端 Web 会话（web guard）依然存活。这使得用户下次点击“登录”时，Passport 仍识别其已通过 web 认证，直接跳转至授权确认页（/oauth/authorize）甚至自动回调，完全绕过登录表单——违背了“移动端主动登出即重置全部认证上下文”的设计预期。

根本原因在于：Passport 的 auth:api 中间件仅管理 API Token（如 Bearer 头中的 token），而 web 会话由独立的 session + cookie 维护（laravel_session、XSRF-TOKEN）。二者生命周期解耦，撤销 Token ≠ 销毁 Session。

✅ 正确的移动端登出方案必须同时处理三层状态：

清除 Web 认证状态（终止用户在 web guard 中的登录态）
销毁当前会话数据与 ID（防止会话固定，确保 laravel_session cookie 失效）
撤销所有关联的 OAuth2 Token（Access + Refresh，阻断后续 API 调用）
前端授权请求强制要求重新登录（通过 prompt=login 参数）

以下是推荐的完整登出控制器逻辑（适用于 Laravel 10+ / Passport 11.3+）：

Laravel Creem Agent

Creem 支付商店助理 — 查询订阅、客户、交易、产品，执行心跳检查，管理本地 Laravel支付商店。

下载

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Session;
use Laravel\Passport\Token;
use Laravel\Passport\RefreshToken;

public function logoutAPI(Request $request)
{
    // ✅ 步骤 1：清除 web guard 登录态（关键！触发 session key 清理）
    Auth::guard('web')->logout();

    // ✅ 步骤 2：使当前会话完全失效（删除服务端存储 + 重置 session ID）
    $request->session()->invalidate();

    // ✅ 步骤 3：生成新 CSRF token，避免登出后表单重放
    $request->session()->regenerateToken();

    // ✅ 步骤 4：撤销当前用户的全部 Passport Tokens（含 Access & Refresh）
    if (Auth::check()) {
        // 撤销当前 Access Token（若存在）
        $user = Auth::user();
        if ($user->currentAccessToken()) {
            $user->currentAccessToken()->delete();
        }

        // 撤销该用户所有 Access Tokens（可选，按需启用）
        Token::where('user_id', $user->id)->delete();

        // 撤销对应的所有 Refresh Tokens
        RefreshToken::whereHas('accessToken', fn ($q) => $q->where('user_id', $user->id))
            ->delete();
    }

    // ✅ 步骤 5：返回响应（注意：不重定向，适配移动端 JSON API）
    return response()->json([
        'message' => 'Successfully logged out',
        'session_cleared' => true,
        'tokens_revoked' => true,
    ], 200);
}

? 关键注意事项：

不要混用门面与请求会话：避免 Session::flush() + Auth::guard('web')->logout() 组合。Session::flush() 仅清空数据，不销毁会话 ID，存在会话固定风险；而 $request->session()->invalidate() 是唯一能安全终结会话生命周期的方法。
必须传入 $request 实例：$request->session() 确保操作的是当前用户真实会话；静态门面 Session:: 在 API 上下文中可能因无会话上下文而静默失败。
移动端前端需配合 prompt=login：当用户再次发起授权请求（如跳转 https://yourapp.com/oauth/authorize?...&prompt=login）时，Passport 将忽略现有 web 会话，强制显示登录页。这是自 Laravel Passport v11.3 起官方支持的标准化参数，替代了手动 Cookie 清理等不可靠手段。
Cookie 清理无需手动干预：$request->session()->invalidate() 会自动发送 Set-Cookie: laravel_session=; expires=Thu, 01 Jan 1970 00:00:00 GMT 头；XSRF-TOKEN 也会随新会话刷新。客户端（如 Axios、React Native WebView）应正确处理响应头中的 Cookie 清除指令。
路由中间件需匹配 guard：确保 logoutAPI 路由使用 web 中间件（而非 auth:api），否则 Auth::guard('web') 将无法访问当前会话。