То, что я сделал раньше, реализовал мой собственный контроллер, расширяющий Laravel\Passport\Http\Controllers\AccessTokenController. Вы можете не только настроить этот контроллер для обработки создания токенов, но также добавить маршруты для обновления и отзыва токенов.

Например, у меня был метод create для отображения формы входа в систему, метод store для создания токена доступа, метод refresh для использования токена обновления для обновления истекших токенов доступа и метод revoke для отзыва предоставленного токена доступа и связанного обновления. токен.

Я не могу предоставить точный код, поскольку проект не является открытым исходным кодом, но это быстрый пример контроллера с использованием только метода store:

use Illuminate\Http\Request;
use Psr\Http\Message\ServerRequestInterface;
use Laravel\Passport\Http\Controllers\AccessTokenController;

class MyAccessTokenController extends AccessTokenController
{
    public function store(Request $request, ServerRequestInterface $tokenRequest)
    {
        // update the request to force your grant type, id, secret, and scopes
        $request->request->add([
            'grant_type' => 'password',
            'client_id' => 'your-client-id',
            'client_secret' => 'your-client-secret',
            'scope' => 'your-desired-scopes',
        ]);

        // generate the token
        $token = $this->issueToken($tokenRequest->withParsedBody($request->request->all()));

        // make sure it was successful
        if ($token->status() != 200) {
            // handle error
        }

        // return the token
        return $token;
    }
}

Метод refresh в основном будет таким же, но grant_type будет refresh_token.

Метод revoke получит токен авторизованного пользователя ($token = $request->user()->token(), отзовет его ($token->revoke()), а затем вручную просмотрит таблицу oauth_refresh_tokens для связанных токенов (access_token_id = $token->id) и обновит поле revoked до true.

Создайте несколько маршрутов для использования вашего настраиваемого контроллера, и все готово (NB: для маршрута revoke потребуется промежуточное ПО auth:api).

Вот страница, на которую я всегда ссылаюсь: https://oauth2.thephpleague.com/authorization-server/which-grant/

Это говорит

We strongly recommend that you use the Authorization Code flow over the Password grant for several reasons. We eliminate the password grant option.

Затем на диаграмме четко указано, что вы должны использовать

Authorization Code Grant with PKCE

а также указывает, что

If the client is a web application that has runs entirely on the front end (e.g. a single page web application) or a native application such as a mobile app you should implement the authorization code grant with the PKCE extension. You can read further in the document.

Кроме того, здесь есть хороший учебник, объясняющий каждую деталь потока на примере: https://auth0.com/docs/architecture-scenarios/mobile-api

Надеюсь, это поможет.

PS: Когда мне потребовалось время для авторизации пользователей в моем первом приложении, я использовал предоставление пароля, ссылаясь на эту самую диаграмму. Однако похоже, что это изменилось, и предоставление пароля теперь больше не является лучшей практикой и не рекомендуется.