Laravel Passport 使用授权码 + PKCE 流程时，仅撤销 API Token 并不清除 Web 会话，导致用户再次授权时跳过登录页；需结合会话失效、Token 撤销与 OAuth 强制登录参数（prompt=login）三者协同，才能确保移动端登出后完整重启 OAuth2 流程。
laravel passport 使用授权码 + pkce 流程时，仅撤销 api token 并不清除 web 会话，导致用户再次授权时跳过登录页；需结合会话失效、token 撤销与 oauth 强制登录参数（prompt=login）三者协同，才能确保移动端登出后完整重启 oauth2 流程。
在基于 Laravel Passport 的移动端 OAuth2 集成中，一个常见但易被忽视的安全与体验问题是：调用 /oauth/token/revoke 或手动撤销 Personal Access Token 后，服务端 Web 会话（web guard）依然存活。这使得用户下次点击“登录”时，Passport 仍识别其已通过 web 认证，直接跳转至授权确认页（/oauth/authorize）甚至自动回调，完全绕过登录表单——违背了“移动端主动登出即重置全部认证上下文”的设计预期。
根本原因在于：Passport 的 auth:api 中间件仅管理 API Token（如 Bearer 头中的 token），而 web 会话由独立的 session + cookie 维护（laravel_session、XSRF-TOKEN）。二者生命周期解耦，撤销 Token ≠ 销毁 Session。
✅ 正确的移动端登出方案必须同时处理三层状态：
-
清除 Web 认证状态（终止用户在
webguard 中的登录态） -
销毁当前会话数据与 ID（防止会话固定，确保
laravel_sessioncookie 失效） - 撤销所有关联的 OAuth2 Token（Access + Refresh，阻断后续 API 调用）
-
前端授权请求强制要求重新登录（通过
prompt=login参数）
以下是推荐的完整登出控制器逻辑（适用于 Laravel 10+ / Passport 11.3+）：
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Session;
use Laravel\Passport\Token;
use Laravel\Passport\RefreshToken;
public function logoutAPI(Request $request)
{
// ✅ 步骤 1：清除 web guard 登录态（关键！触发 session key 清理）
Auth::guard('web')->logout();
// ✅ 步骤 2：使当前会话完全失效（删除服务端存储 + 重置 session ID）
$request->session()->invalidate();
// ✅ 步骤 3：生成新 CSRF token，避免登出后表单重放
$request->session()->regenerateToken();
// ✅ 步骤 4：撤销当前用户的全部 Passport Tokens（含 Access & Refresh）
if (Auth::check()) {
// 撤销当前 Access Token（若存在）
$user = Auth::user();
if ($user->currentAccessToken()) {
$user->currentAccessToken()->delete();
}
// 撤销该用户所有 Access Tokens（可选，按需启用）
Token::where('user_id', $user->id)->delete();
// 撤销对应的所有 Refresh Tokens
RefreshToken::whereHas('accessToken', fn ($q) => $q->where('user_id', $user->id))
->delete();
}
// ✅ 步骤 5：返回响应（注意：不重定向，适配移动端 JSON API）
return response()->json([
'message' => 'Successfully logged out',
'session_cleared' => true,
'tokens_revoked' => true,
], 200);
}? 关键注意事项：
-
不要混用门面与请求会话：避免
Session::flush()+Auth::guard('web')->logout()组合。Session::flush()仅清空数据，不销毁会话 ID，存在会话固定风险；而$request->session()->invalidate()是唯一能安全终结会话生命周期的方法。 -
必须传入
$request实例：$request->session()确保操作的是当前用户真实会话；静态门面Session::在 API 上下文中可能因无会话上下文而静默失败。 -
移动端前端需配合
prompt=login：当用户再次发起授权请求（如跳转https://yourapp.com/oauth/authorize?...&prompt=login）时，Passport 将忽略现有web会话，强制显示登录页。这是自 Laravel Passport v11.3 起官方支持的标准化参数，替代了手动 Cookie 清理等不可靠手段。 -
Cookie 清理无需手动干预：
$request->session()->invalidate()会自动发送Set-Cookie: laravel_session=; expires=Thu, 01 Jan 1970 00:00:00 GMT头；XSRF-TOKEN也会随新会话刷新。客户端（如 Axios、React Native WebView）应正确处理响应头中的 Cookie 清除指令。 -
路由中间件需匹配 guard：确保
logoutAPI路由使用web中间件（而非auth:api），否则Auth::guard('web')将无法访问当前会话。
? 进阶建议：
若需支持“一端登出、全端失效”，可结合 Laravel Broadcast 发送 UserLoggedOut 事件，并在其他已登录设备的前端监听后主动清除本地存储的 Token 及跳转登录页（适用于多设备场景）。
总之，Laravel Passport 的移动端登出不是简单的 Token 撤销，而是Web 会话终结 + Token 废弃 + OAuth 协议级强制交互的组合操作。遵循上述四步法，即可确保用户每次登录都经历完整、安全、可控的 OAuth2 授权流程。
