传统意义的多字段登录，是通过 userid 或 username 或 email 这类任意一个 unique 字段+密码验证。例如京东：

通过 Laravel Passport 自带的 findForPassport ，做一点小小的修改即可完全满足：

public function findForPassport($username) {
  return $this->orWhere('email', $username)->orWhere('phone', $username)->first();
 }

对于一些特殊的固定字段，例如用户是否激活，也可以采用以下方式做验证，参见 Issue：

public function findForPassport($username)
    {
        $user = $this->where('email', $username)->first();

        if($user !== null && $user->status == 0) {
            throw new OAuthServerException('User account is not activated', 6, 'account_inactive', 401);
        }
        return $user;
    }

但是，如果想同时满足多个字段的验证，例如上一章的 Student ，必须同时满足 school_id 和 student_no 的条件

Student::create([
   'school_id'  => '10001',
   'student_no' => '17000003001',
   'name'       => 'Abbey',
   'password'   => bcrypt('st001')
        ]);

因为 findForPassport 默认只传递了一个 username 的字段，因此还是需要自己扩展。并且我也想可以自定义字段名，不一定必须使用username。

以下部分代码参考了@Ryan 的 Laravel Passport API 认证使用小结，特别表示感谢。

上一章已经定位到了源码的 vendor/league/oauth2-server/src/Grant/PasswordGrant.php，有一个validateUserd的函数调用了getUserEntityByUserCredentials。

protected function validateUser(ServerRequestInterface $request, ClientEntityInterface $client)
    {
        $username = $this->getRequestParameter('username', $request);
        if (is_null($username)) {
            throw OAuthServerException::invalidRequest('username');
        }

$password = $this->getRequestParameter('password', $request);
        if (is_null($password)) {
            throw OAuthServerException::invalidRequest('password');
        }

$user = $this->userRepository->getUserEntityByUserCredentials(
            $username,
            $password,
            $this->getIdentifier(),
            $client
        );
        if ($user instanceof UserEntityInterface === false) {
            $this->getEmitter()->emit(new RequestEvent(RequestEvent::USER_AUTHENTICATION_FAILED, $request));

throw OAuthServerException::invalidCredentials();
        }

return $user;
    }

因此，需要先把PasswordGrant扩展出来。

3.1 在App\Auth新建PasswordGrant.php，代码如下：

主要改动逻辑为：
如果传递的参数有provider，则为多用户登录，不用强制验证username了。
当然这里也可以加更多逻辑，按照实际需求来。

$provider = $this->getRequestParameter('provider', $request);
if(is_null($provider) && is_null($username)){
    throw OAuthServerException::invalidRequest('username');
}

3.2 还需要扩展 vendor/laravel/passport/src/Bridge/UserRepository.php 里面的 getUserEntityByUserCredentials，在App\Auth新建MuitiAuthPassportRepository.php，代码如下：

验证传递参数的时候，如果模型里面存在自定义的 findForPassportMulti 函数，则把所有的 Request 都传递进去，再多字段也不怕！！！

if (method_exists($model, 'findForPassport')) {
            $user = (new $model)->findForPassport($username);
        } else {
            if (method_exists($model, 'findForPassportMulti')) {
                $user = (new $model)->findForPassportMulti(App::make(Request::class)->all());
            }else{
                $user = (new $model)->where('email', $username)->first();
            }
        }

3.3 修改Student Model：

把所有的 Request 都传递进去以外，应该还有一种更优雅的实现逻辑，参考 Laravel 用户多字段认证优雅解决方案。

3.4 在 App\Providers 新建 PassportServiceProvider.php，引入上面的扩展

这个 PassportServiceProvider 继承了 Passport 原有的 PassportServiceProvider，需要手动加入 config/app.php的providers配置段中：

'providers' => [
        ...
         * Application Service Providers...
         */
        App\Providers\AppServiceProvider::class,
        App\Providers\AuthServiceProvider::class,
        // App\Providers\BroadcastServiceProvider::class,
        App\Providers\EventServiceProvider::class,
        App\Providers\RouteServiceProvider::class,
        App\Providers\PassportServiceProvider::class,
    ],

测试一下多字段的登录，正常返回Token.：

curl --request POST \
  --url http://multiauth.test/oauth/token \
  --header 'accept: application/json' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'school_id=10001&student_no=17000003001&password=st001&client_id=2&client_secret=secret&grant_type=password&scope=&provider=students'

如果少传一个字段student_no：

curl --request POST \
  --url http://multiauth.test/oauth/token \
  --header 'accept: application/json' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'school_id=10001&password=st001&client_id=2&client_secret=secret&grant_type=password&scope=&provider=students'

则妥妥的报错：Undefined index: student_no

Laravel的异常抛出有更优雅的实现方式，不在本文讨论范围内。

至此，多字段登录的功能也实现了。

下一章讲解退出登录以及通过Middleware限制访问。

多用户登录在Passport的 这个Issue 里面有非常多的讨论，其他网站例如stackoverflow的诸多问题最后还是回到了这个Issue。
有一位叫做 sfelix-martins 的热心群众已经开发了 扩展包passport-multiauth。实现原理为Issue里面提及的，通过增加一张 oauth_access_token_providers 的扩展表。用户第一次登录，通过 "provider"参数传递需要关联的模型。以后每次通过Token传参时，在middleware里面做一层验证，把Token对应到相应的模型。不传 "provider"则默认为User模型。
有现成的轮子省了不少事，话不多说，直接开撸。

2–1. 引入multiauth扩展包

composer require smartins/passport-multiauth

2–2. 以老师和学生为例, 创建数据表。未使用常见的username字段。

并且在项目的app\Models文件夹，参考User, 建立对应的测试模型。

<?php

namespace App\Models;

use Laravel\Passport\HasApiTokens;
use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class Student extends Authenticatable
{
    use HasApiTokens, Notifiable;

protected $fillable = [
        'school_id', 'student_no', 'password',
    ];

protected $hidden = [
        'password'
    ];

}

<?php

namespace App\Models;

use Laravel\Passport\HasApiTokens;
use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class Teacher extends Authenticatable
{
    use HasApiTokens, Notifiable;

protected $fillable = [
        'school_id', 'password',
    ];

protected $hidden = [
        'password'
    ];

}

2–3. 数据表迁移

php artisan migrate

2–4. 老惯例，需要增加测试数据，建立Seeder文件并且导入

composer dump-autoload

php artisan db:seed --class=StudentsAndTeacherSeeder

2–5. 配置文件 config/auth.php 中 providers 数组增加对应的模型

'providers' => [
        'users' => [
            'driver' => 'eloquent',
            'model' => App\User::class,
        ],

'students' => [
            'driver' => 'eloquent',
            'model' => App\Models\Student::class,
        ],

'teachers' => [
            'driver' => 'eloquent',
            'model' => App\Models\Teacher::class,
        ],

],

2–6. 在文件 app/Http/Kernelmiddlewares 的$middlewareGroups中，注册自定义的PassportCustomProvider 和PassportCustomProviderAccessToken 。

class Kernel extends HttpKernel
{
    ...

    /**
     * The application's route middleware groups.
     *
     * @var array
     */
    protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            // \Illuminate\Session\Middleware\AuthenticateSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

        'api' => [
            'throttle:60,1',
            'bindings',
            \Barryvdh\Cors\HandleCors::class,
            'custom-provider',
        ],

        'custom-provider' => [
            \SMartins\PassportMultiauth\Http\Middleware\AddCustomProvider::class,
            \SMartins\PassportMultiauth\Http\Middleware\ConfigAccessTokenCustomProvider::class,
        ]
    ];

    ...
}

2–7. 在 AuthServiceProvider 增加 access token 对应的 passport routes。

use Route;
use Laravel\Passport\Passport;

class AuthServiceProvider extends ServiceProvider
{
    ...
    
    /**
     * Register any authentication / authorization services.
     *
     * @return void
     */
    public function boot()
    {
        $this->registerPolicies();

        Passport::routes();

        Route::group(['middleware' => 'api'], function () {
            Passport::routes(function ($router) {
                return $router->forAccessTokens();
            });
        });
    }
    ...
}

2–8. 先测试下Teacher的登录，帐号和密码参照Seeder。

这是最常见的ID和密码登录方式，用户名或手机号或邮箱登录均类似。
按照文档，需要在参数里面增加provider=teachers，对应上面2–4.

curl --request POST \
  --url http://multiauth.test/oauth/token \
  --header 'accept: application/json' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'school_id=10001&password=tt111&client_id=2&client_secret=secret&grant_type=password&scope=&provider=teachers'

不出意外，可以看见以下的结果

{"error":"invalid_request","message":"The request is missing a required parameter, includes an invalid parameter value, includes a parameter more than once, or is otherwise malformed.","hint":"Check the `username` parameter"}

既然一定要username，那我把school_id换成username试试：

curl --request POST \
  --url http://multiauth.test/oauth/token \
  --header 'accept: application/json' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'username=10001&password=tt111&client_id=2&client_secret=secret&grant_type=password&scope=&provider=teachers'

然鹅，还是报错登陆不上，因为数据结构里面压根就没有username这个字段啊。另外冒出来的email是什么东西。

SQLSTATE[42S22]: Column not found: 1054 Unknown column ‘email’ in ‘where clause’ (SQL: select * from `teachers` where `email` = 10001 limit 1)

What the f….算了，还是先查下网上有没有类似的问题吧。
在 这个Issue 里面，有人提出了一个简单的解决方案，使用官方文档中并未提及的 findForPassport函数。这个函数会把username映射为需要匹配的unique字段。既然都到这一步了，那还是追一下源码吧，在vendor/laravel/passport/src/Bridge/UserRepository.php 的41行，出现了这个函数。

if (method_exists($model, 'findForPassport')) {
            $user = (new $model)->findForPassport($username);
        } else {
            $user = (new $model)->where('email', $username)->first();
        }

如果在model里面存在findForPassport这个函数，则返回对应的model。
如果不存在，则去取email字段。因为我的Teacher表也没有email字段，所以报错 Unknown column ‘email’ 。

这段代码隶属于getUserEntityByUserCredentials这个函数，那哪里又调用了这个函数呢？ 继续阅读源码+1.
在 vendor/league/oauth2-server/src/Grant/PasswordGrant.php，有一个validateUserd的函数调用了getUserEntityByUserCredentials。
并且username是写死的！！！

所以如果前端不传username，直接抛出invalidRequest异常，对应前面的 ”hint”:”Check the `username` parameter”

protected function validateUser(ServerRequestInterface $request, ClientEntityInterface $client)
    {
        $username = $this->getRequestParameter('username', $request);
        if (is_null($username)) {
            throw OAuthServerException::invalidRequest('username');
        }

$password = $this->getRequestParameter('password', $request);
        if (is_null($password)) {
            throw OAuthServerException::invalidRequest('password');
        }

$user = $this->userRepository->getUserEntityByUserCredentials(
            $username,
            $password,
            $this->getIdentifier(),
            $client
        );

老老实实的按照Issues修改model，再次测试，前端必须传递username。

curl --request POST \
  --url http://multiauth.test/oauth/token \
  --header 'accept: application/json' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'username=10001&password=tt111&client_id=2&client_secret=secret&grant_type=password&scope=&provider=teachers'

现在可以成功登录，获取Teacher 的 Token了

{“token_type”:”Bearer”,”expires_in”:31536000,”access_token”:”eyJ0e...",”refresh_token”:”def50...”}

通过Token获取模型也很简单，传递 ‘api’ guard 到 user()即可。
修改app\routes\api.php如下：

use Illuminate\Http\Request;

Route::get('/user', function (Request $request) {
    return $request->user('api');
});

curl 测试

curl -X GET -H "Accept: application/json" -H "Authorization: Bearer eyJ0eX..." http://multiauth.test/api/user

成功获取到Teacher信息

{"id":1,"school_id":"10001","teacher_name":"Kathy","created_at":"2018-01-04 21:26:44","updated_at":"2018-01-04 21:26:44"}

如果使用1–10获取到的User的Token去访问相同的 api/user，会返回User的数据。 至此多用户登录基本成功。

下一章： 基于Laravel Passport API 的多用户多字段认证系统（三）：多字段登录

1. 基础框架搭建

1-1. 新建Laravel项目，我这里命名为 multiauth

composer create-project --prefer-dist laravel/laravel multiauth

1-2. 进入文件夹，引入Laravel Passport

composer require laravel/passport

1-3. 因为Laravel5.5自带了package discover, 因此无需按照文档中提及的将 Passport 的服务提供者注册到配置文件 config/app.php 的 providers。直接执行下一步即可：

php artisan migrate

1-4. 运行 passport:install 命令来创建生成安全访问令牌时所需的加密密钥，同时，这条命令也会创建用于生成访问令牌的「个人访问」客户端和「密码授权」客户端,。
请记住 Client ID: 2 对应的 Client Secret ，后续测试需要使用。

php artisan passport:install

1–5. 将 Laravel\Passport\HasApiTokens Trait 添加到 App\User 模型中，这个 Trait 会给你的模型提供一些辅助函数，用于检查已认证用户的令牌和使用范围：

<?php

namespace App;

use Laravel\Passport\HasApiTokens;
use Illuminate\Notifications\Notifiable;
use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable
{
    use HasApiTokens, Notifiable;

...

1–6. 在 AuthServiceProvider 的 boot 方法中调用 Passport::routes 函数。这个函数会注册发出访问令牌并撤销访问令牌、客户端和个人访问令牌所必需的路由：

<?php

namespace App\Providers;

use Laravel\Passport\Passport;
use Illuminate\Support\Facades\Gate;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;

class AuthServiceProvider extends ServiceProvider
{
    /**
     * 应用程序的策略映射。
     *
     * @var array
     */
    protected $policies = [
        'App\Model' => 'App\Policies\ModelPolicy',
    ];

    /**
     * Register any authentication / authorization services.
     *
     * @return void
     */
    public function boot()
    {
        $this->registerPolicies();

        Passport::routes();
    }
}

1–7. 将配置文件 config/auth.php 中授权看守器 guards 的 api 的 driver 选项改为 passport。此调整会让你的应用程序在在验证传入的 API 的请求时使用 Passport 的 TokenGuard 来处理：

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],

    'api' => [
        'driver' => 'passport',
        'provider' => 'users',
    ],
],

1–8. 创建UserTableSeeder，并且导入测试数据

composer dump-autoload

php artisan db:seed --class=UsersTableSeeder

1–9. 测试获取Token。记的把以下代码中的域名换成自己的测试环境域名，secret换成1–4里面 client_id=2 对应的 secret。
测试工具按自己习惯，此处使用curl。

curl — request POST \
 — url http://multiauth.test/oauth/token \
 — header ‘accept: application/json’ \
 — header ‘content-type: application/x-www-form-urlencoded’ \
 — data ‘username=usera%40gmail.com&password=userasecret&client_id=2&client_secret=secret&grant_type=password&scope=’

1–10. 如果以上的每一步操作都没错的话，应该可以看见以下的输出了

{“token_type”:”Bearer”,”expires_in”:31536000,”access_token”:”eyJ0e...",”refresh_token”:”def50...”}

下一章：基于Laravel Passport API 的多用户多字段认证系统（二）：多用户登录