跨域共享会话状态：实现主域名与子域名间的登录状态同步-php教程-PHP中文网

跨域共享会话状态：实现主域名与子域名间的登录状态同步

本文介绍如何在 wordpress 主站与 laravel 子站之间安全、可靠地共享用户登录状态，通过跨子域 cookie 与 cors 配置，使主域名能实时感知子域名的登录状态并动态控制弹窗显示。

本文介绍如何在 wordpress 主站与 laravel 子站之间安全、可靠地共享用户登录状态，通过跨子域 cookie 与 cors 配置，使主域名能实时感知子域名的登录状态并动态控制弹窗显示。

在现代多系统协同架构中，主域名（如 example.com）运行 WordPress，而子域名（如 app.example.com）承载 Laravel 应用，两者需共享用户认证状态——这是常见但易出错的跨域场景。关键不在于“共享 Session 数据本身”，而在于让主站能可信地查询子站的登录状态。以下为完整、可落地的技术方案：

✅ 核心前提：Cookie 域名配置一致

Laravel 必须将 Session Cookie 的作用域设为顶级域名（含前导点），确保主站和子站均可携带同一凭证：

// config/session.php
'domain' => '.example.com', // 注意开头的点号，表示匹配所有子域
'secure' => true,           // 生产环境务必启用 HTTPS
'http_only' => true,
'same_site' => 'lax',

同时确保 APP_URL 在 .env 中设为 https://app.example.com，避免 Laravel 重定向破坏 Cookie。

✅ Laravel 端：提供安全的登录状态接口

在 routes/web.php 中添加无 CSRF 保护的只读接口（因由前端 JS 调用，且仅返回布尔值）：

// routes/web.php
use Illuminate\Support\Facades\Auth;
use Illuminate\Http\Request;

Route::get('/check-login', function (Request $request) {
    // 可选：校验 Referer 或 Origin 防止滥用（见下方注意事项）
    $origin = $request->header('Origin');
    if ($origin && !in_array($origin, ['https://example.com', 'https://www.example.com'])) {
        return response()->json(['isLoggedIn' => false], 403);
    }

    return response()
        ->json(['isLoggedIn' => Auth::check()])
        ->withCookie(cookie()
            ->forever('laravel_session') // 确保响应 Cookie 不被覆盖
            ->domain('.example.com')
            ->httpOnly(false) // 允许 JS 读取（仅当需调试时；生产建议保持 true）
        );
});

⚠️ 重要 CORS 配置（在 app/Http/Middleware/Cors.php 或全局中间件中）：

return $next($request)
    ->header('Access-Control-Allow-Origin', 'https://example.com')
    ->header('Access-Control-Allow-Credentials', 'true')
    ->header('Access-Control-Allow-Methods', 'GET')
    ->header('Access-Control-Allow-Headers', 'Content-Type, X-Requested-With');

✅ WordPress 端：安全发起带凭据的 AJAX 请求

将以下代码保存为 wp-content/themes/your-theme/js/check-login.js，并在主题 functions.php 中正确加载（注意 in_footer => true 和 wp_enqueue_script 依赖声明）：

document.addEventListener('DOMContentLoaded', function () {
  // 使用 fetch 替代 jQuery（更轻量、现代标准）
  fetch('https://app.example.com/check-login', {
    method: 'GET',
    credentials: 'include', // 关键：必须发送 cookies
    headers: {
      'X-Requested-With': 'XMLHttpRequest',
      'Accept': 'application/json'
    }
  })
  .then(response => {
    if (!response.ok) throw new Error(`HTTP ${response.status}`);
    return response.json();
  })
  .then(data => {
    if (data.isLoggedIn === true) {
      // ✅ 已登录：显示弹窗（示例使用原生 DOM 操作）
      const popup = document.getElementById('login-popup');
      if (popup) popup.style.display = 'block';
    } else {
      // ❌ 未登录：隐藏弹窗
      const popup = document.getElementById('login-popup');
      if (popup) popup.style.display = 'none';
    }
  })
  .catch(err => {
    console.warn('无法检查登录状态:', err.message);
    // 网络失败时默认隐藏弹窗，保障用户体验
    const popup = document.getElementById('login-popup');
    if (popup) popup.style.display = 'none';
  });
});

⚠️ 安全与稳定性注意事项

HTTPS 强制要求：withCredentials: true 在非 HTTPS 下会被浏览器拒绝，主站与子站均需有效 SSL 证书。
避免 Cookie 冲突：WordPress 和 Laravel 的 Session Cookie 名称必须不同（默认 PHPSESSID vs laravel_session），否则会相互覆盖。
缓存规避：在 Laravel 路由中添加 ->withoutMiddleware([\App\Http\Middleware\VerifyCsrfToken::class])，并确保响应头包含 Cache-Control: no-store, must-revalidate。
降级策略：AJAX 失败时应有明确 UI 回退（如默认隐藏弹窗），不可阻塞页面渲染。
性能优化：可在 WordPress 端增加节流（throttle）或 localStorage 缓存结果（有效期 60 秒），减少重复请求。

该方案不传输敏感数据，不共享 Session ID，仅通过受控接口返回布尔状态，兼顾安全性、兼容性与可维护性，是跨子域身份协同的推荐实践。