Laravel Passport授权码模式怎么对接-php教程-PHP中文网

Laravel Passport授权码模式需三处对齐：/oauth/authorize路由必须用web中间件、客户端为confidential类型且redirect严格匹配、授权URL参数规范；获取code后须用服务端POST请求/oauth/token换取access_token。

laravel passport授权码模式怎么对接

Laravel Passport 授权码模式（Authorization Code Grant）是 Web 应用对接第三方登录或安全接入最常用、也最推荐的方式。它不是配完 passport:install 就能跑通的，关键在三处对齐：路由中间件、客户端类型、重定向地址。稍有不一致，就会卡在 /oauth/authorize 跳转失败、CSRF 报错、或回调拿不到 code。

/oauth/authorize 路由必须走 web 中间件

这个接口本质是面向浏览器的授权页面（带登录表单和“允许/拒绝”按钮），依赖 session 和 CSRF token。

✅ 正确：Route::get('/oauth/authorize', [\Laravel\Passport\Http\Controllers\AuthorizationController::class, 'authorize'])->middleware('web');
❌ 错误：加 api 中间件，或没显式指定中间件（Laravel 10+ 默认 api 组不带 session）

若你用的是 Laravel 11+，确保 AuthServiceProvider::boot() 中调用了：

Passport::routes(); // 注册所有默认路由
Passport::enableAuthorizationCodeGrant(); // 显式启用授权码模式

客户端必须是 confidential 类型且 redirect 严格匹配

数据库 oauth_clients 表中，该客户端需满足：

personal_access_client = 0
password_client = 0
redirect 字段值必须与你发起授权请求时传的 redirect_uri 完全一致（协议、域名、端口、路径、末尾斜杠都不能差）
- 例如数据库存的是 https://app.example.com/callback/，那你请求时就不能写成 https://app.example.com/callback 或 http://...
client_secret 必须存在（不能为 null），且调用 /oauth/token 换 token 时必须带上

? 提示：用 php artisan passport:client --confidential 创建，比手动插入更稳妥。

构造授权 URL 要规范，scope 是空格分隔字符串

前端跳转到 /oauth/authorize 时，参数必须完整、格式正确：

laravel-specialist

精通 Laravel 10+，遵循现代 PHP 实践的 Laravel 专家。擅长优雅语法、Eloquent ORM、队列系统及企业级特性...

下载

response_type=code（固定）
client_id=xxx（对应数据库中的 id）
redirect_uri=https://your-app.com/callback（必须编码）
scope=read write profile（空格分隔，不是数组、不是逗号）
state=随机字符串（用于防 CSRF，务必校验回调时是否一致）

示例完整 URL：

https://your-api.com/oauth/authorize?
  response_type=code&
  client_id=3&
  redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback&
  scope=read%20write&
  state=abc123xyz