📖 13주차 02강: 라라벨 생텀(Sanctum) 모바일 API 토큰 인증 & 페넌트(Pennant) 피처 플래그

<?php

namespace App\Models;

use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Notifications\Notifiable;
use Laravel\Sanctum\HasApiTokens;
use Laravel\Pennant\Concerns\HasFeatures;

class User extends Authenticatable
{
    use HasApiTokens, Notifiable, HasFeatures;

    // ... 기존 코드 유지
}

<?php

namespace App\Http\Controllers\Api\v1;

use App\Http\Controllers\Controller;
use App\Models\User;
use Illuminate\Http\JsonResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;
use Illuminate\Validation\ValidationException;

class AuthApiController extends Controller
{
    /**
     * 모바일 앱 로그인 및 토큰 발급
     * POST /api/v1/auth/login
     */
    public function login(Request $request): JsonResponse
    {
        $request->validate([
            'email' => 'required|email',
            'password' => 'required',
            'device_name' => 'required|string|max:50', // 예: "Dorothy's iPhone 16"
        ]);

        $user = User::where('email', $request->email)->first();

        if (!$user || !Hash::check($request->password, $user->password)) {
            throw ValidationException::withMessages([
                'email' => ['이메일 또는 비밀번호가 일치하지 않습니다.'],
            ]);
        }

        // 1. 일반 독자용 기본 권한(Abilities) 부여
        $abilities = ['books:read', 'orders:create', 'reviews:write'];

        // 관리자인 경우 추가 권한 부여
        if ($user->is_admin) {
            $abilities[] = 'admin:manage';
        }

        // 2. Sanctum 개인 액세스 토큰 발급
        $token = $user->createToken($request->device_name, $abilities);

        return response()->json([
            'message' => '로그인 성공',
            'token_type' => 'Bearer',
            'access_token' => $token->plainTextToken,
            'user' => [
                'id' => $user->id,
                'name' => $user->name,
                'email' => $user->email,
            ],
        ]);
    }

    /**
     * 현재 기기 로그아웃 (현재 토큰 폐기)
     * POST /api/v1/auth/logout
     */
    public function logout(Request $request): JsonResponse
    {
        // 요청에 사용된 현재 토큰만 삭제
        $request->user()->currentAccessToken()->delete();

        return response()->json(['message' => '현재 기기에서 안전하게 로그아웃되었습니다.']);
    }

    /**
     * 모든 다른 기기 원격 일괄 로그아웃
     * POST /api/v1/auth/logout-all
     */
    public function logoutAllDevices(Request $request): JsonResponse
    {
        // 해당 유저의 모든 발급 토큰 일괄 삭제
        $request->user()->tokens()->delete();

        return response()->json(['message' => '모든 연결된 기기에서 일괄 로그아웃되었습니다.']);
    }
}

use App\Http\Controllers\Api\v1\AuthApiController;
use App\Http\Controllers\Api\v1\OrderApiController;
use Illuminate\Support\Facades\Route;

Route::prefix('v1')->group(function () {
    // 공개 라우트
    Route::post('/auth/login', [AuthApiController::class, 'login']);

    // Sanctum 인증 필요 라우트
    Route::middleware('auth:sanctum')->group(function () {
        Route::post('/auth/logout', [AuthApiController::class, 'logout']);
        Route::post('/auth/logout-all', [AuthApiController::class, 'logoutAllDevices']);

        // 세부 권한(orders:create)이 있는 토큰만 주문 생성 허용
        Route::post('/orders', [OrderApiController::class, 'store'])
            ->middleware('ability:orders:create');
    });
});

if ($request->user()->tokenCan('reviews:write')) {
    // 서평 작성 로직 허용
}

use Laravel\Pennant\Feature;
use App\Models\User;
use Illuminate\Support\Lottery;

public function boot(): void
{
    // 모바일 원클릭 결제 피처 플래그 (50% 확률로 활성화)
    Feature::define('one-click-checkout', fn (User $user) => 
        Lottery::odds(1, 2)->choose()
    );
}

// UserApiController.php
public function me(Request $request)
{
    $user = $request->user();

    return response()->json([
        'user' => $user,
        'features' => [
            'one_click_checkout' => Feature::active('one-click-checkout'),
        ],
    ]);
}

'expiration' => 60 * 24 * 30, // 30일 후 자동 만료