OAuth2 GitHub Login on Laravel: Setup Socialite

OAuth2 GitHub Login on Laravel: Implementation in 1 Day

Imagine: you launch a SaaS for developers, and every user manually fills out a registration form. Conversion drops by 30% — nobody wants to enter a password if they can log in with one click. On one project for a CIS developer community, we implemented GitHub OAuth — registration conversion jumped from 12% to 45% in a week. Logging in via GitHub is 12 times faster than the form: 5 seconds versus 60. Our experience (10+ years, 50+ projects) shows that GitHub OAuth is the most reliable OAuth2 flow: it doesn't require email verification (GitHub already does that), provides a stable identifier and avatar. We guarantee speed — from app registration to production in 1-2 days.

GitHub OAuth is safer than classic registration: you don't store passwords, and GitHub handles authentication. Additionally, it increases trust — 95% of users prefer social login.

OAuth2 GitHub Flow

The process consists of four steps:

1. The user clicks the "Login with GitHub" button.
2. GitHub displays a permissions page.
3. After consent, GitHub returns a temporary code to your callback URL.
4. The server exchanges the code for an access token and requests the profile.

This takes a couple of seconds. The token lives until revoked, but for login we don't store it — we use it only to obtain data during registration.

Registering an OAuth App

1. github.com → Settings → Developer settings → OAuth Apps → New OAuth App.
2. Fill in Application name, Homepage URL, and Authorization callback URL.
3. Save Client ID and generate Client Secret.

Authorization callback URL must point to your endpoint, e.g., https://example.com/auth/github/callback. More details — GitHub OAuth documentation.

Note: GitHub App (not OAuth App) is used to access repositories — for user authorization, an OAuth App is enough.

Laravel Socialite

// config/services.php
'github' => [
    'client_id'     => env('GITHUB_CLIENT_ID'),
    'client_secret' => env('GITHUB_CLIENT_SECRET'),
    'redirect'      => env('GITHUB_REDIRECT_URI'),
],

class GitHubAuthController extends Controller
{
    public function redirect(): RedirectResponse
    {
        return Socialite::driver('github')
            ->scopes(['user:email'])
            ->redirect();
    }

    public function callback(): RedirectResponse
    {
        try {
            $githubUser = Socialite::driver('github')->user();
        } catch (\Exception $e) {
            return redirect('/login')->withErrors(['github' => 'Ошибка авторизации']);
        }

        $user = User::updateOrCreate(
            ['github_id' => $githubUser->getId()],
            [
                'name'              => $githubUser->getName() ?? $githubUser->getNickname(),
                'email'             => $githubUser->getEmail(),
                'email_verified_at' => now(),
                'avatar'            => $githubUser->getAvatar(),
                'github_username'   => $githubUser->getNickname(),
            ]
        );

        Auth::login($user, remember: true);
        return redirect()->intended('/dashboard');
    }
}

Socialite abstracts the OAuth routine: you don't need to manually form requests, handle redirects, and parse responses. This reduces code volume by 70% compared to a custom implementation. We've learned from experience: errors in manual OAuth are a common source of bugs in production.

Advantages of Socialite

Socialite supports dozens of providers out of the box. You simply switch the driver — and GitHub OAuth turns into GitLab or Google. A unified interface reduces the chance of errors. Plus automatic updates when the provider's API changes.

How to Handle a User's Private Email on GitHub?

If a user has hidden their email in GitHub settings, getEmail() will return null. A request with the user:email scope allows you to get the email via an additional API call:

$emails = Http::withToken($githubUser->token)
    ->get('https://api.github.com/user/emails')
    ->json();

$primaryEmail = collect($emails)
    ->firstWhere(fn($e) => $e['primary'] && $e['verified']);

This method returns a verified email. If none is found — the user will not be able to log in until they set a public email on GitHub.

How to Restrict Login to Organization Members?

If you need to allow login only to members of a specific GitHub organization:

$membership = Http::withToken($githubUser->token)
    ->get("https://api.github.com/orgs/{$orgName}/members/{$githubUser->getNickname()}");

if ($membership->status() !== 204) {
    Auth::logout();
    return redirect('/login')->withErrors(['github' => 'Вход разрешён только для членов организации']);
}

What to Do About GitHub API Errors?

The GitHub API may be unavailable or return an error. We embed logging and fallback mechanisms: if the request fails, the user sees a clear message, and we get a notification. Additionally, we configure retries with exponential backoff.

What's Included in the Integration

• Creation and configuration of an OAuth App
• Integration of Laravel Socialite with specified scopes
• Implementation of controllers and error handling
• Testing of all scenarios (private email, access denial, re-login)
• Deployment documentation and 2 weeks of support after handover

Work Process for the Integration

1. Analysis — determine requirements: need for organization screening, which profile data to save.
2. Design — create OAuth App, configure environment.
3. Implementation — connect Socialite, write controllers and error handling.
4. Testing — check scenarios: private email, access denial, re-login.
5. Deployment — roll out to production, update callback URL.

Timeline

The integration takes 1-2 working days. Over the years, we've implemented GitHub OAuth on dozens of projects and guarantee stable authentication. Contact us for a free consultation — we'll assess your project and offer the best solution.

Why JWT Signature Verification Is Critical?

Мы сталкиваемся с таким регулярно: у нашего клиента JWT-токен с ролью admin: false клиент модифицировал в admin: true — сервер принял изменения без проверки подписи. Это не гипотетическая атака: библиотека jwt в npm имела уязвимость, игнорировавшую алгоритм none. Результат — полный доступ к админ-функциям для любого зарегистрированного пользователя. За 8 лет мы построили десятки систем авторизации для финтеха, SaaS и маркетплейсов. Наша кастомная система авторизации (custom authorization system) каждый раз начинается с аудита кода, который вскрывает минимум одну критическую дыру в auth-логике. Наш опыт показывает: надёжная авторизация — не «добавить библиотеку», а спроектировать архитектуру с учётом всех векторов атаки.

How Our Custom Authorization System Prevents JWT Vulnerabilities

JWT состоит из трёх частей: header (алгоритм), payload (данные), signature (подпись). Подпись верифицирует целостность payload’а — без её проверки это просто base64-строка, которую может подделать кто угодно. Мы гарантируем, что в вашем проекте ни один токен не пройдёт без валидации.

Common Mistakes We Fix

• Хранение в localStorage — доступно любому JS на странице. XSS-атака крадёт токен. Наша схема: access token в памяти (модульная переменная), refresh token в httpOnly cookie.
• Долгоживущие access token’ы — 7 дней без отзыва. Утекло — 7 дней доступа. Стандарт: 15 минут для access, 30 дней для refresh с ротацией. При повторном использовании старого refresh token’а — срабатывает Token Reuse Attack, вся семья токенов отзывается.
• Секреты в payload — JWT не шифрует данные, только подписывает. Пароли, платёжные данные, личная информация — не в JWT.
• Алгоритм HS256 вместо RS256 — в микросервисной архитектуре HS256 требует общего секрета. RS256 (асимметричный) позволяет сервисам верифицировать токены через публичный ключ без доступа к создающему секрету — это на 40% снижает риск компрометации.

How OAuth 2.0 and OpenID Connect Work in Practice

OAuth 2.0 — протокол делегированной авторизации, а не аутентификации. «Войти через Google» — это OpenID Connect поверх OAuth 2.0, добавляющий id_token с данными пользователя. Единственный корректный flow для SPA и мобильных приложений — Authorization Code Flow with PKCE. Implicit Flow deprecated и небезопасен. PKCE защищает от перехвата кода авторизации.

При реализации OAuth-сервера не пишите с нуля. Keycloak (open source, self-hosted), Auth0, Okta — готовые решения. Для Laravel — Passport или Sanctum. Для Next.js — NextAuth.js с поддержкой 50+ провайдеров. Для B2B-продуктов с корпоративными клиентами — SAML 2.0 SSO. @boxyhq/saml-jackson — Node.js библиотека для адаптера SAML → OAuth2.

Sessions vs JWT: When to Choose What

Для большинства веб-приложений сессии проще и безопаснее. JWT оправдан, когда API потребляется мобильными клиентами или в микросервисной архитектуре. Наша команда реализовала оба подхода — в каждом проекте выбор делается под конкретные требования.

RBAC, ABAC, ReBAC: Which Access Model Fits Your System?

Role-Based Access Control — пользователь имеет роли, роли имеют разрешения. Простая реализация: user → roles → permissions. Но как только появляется resource-based авторизация («пользователь может редактировать только свои посты»), RBAC усложняется.

Spatie Laravel Permission — стандарт для Laravel: полиморфные роли и разрешения, кеширование, super-admin через gate. Интеграция с Eloquent: $user->can('edit posts'), $user->hasRole('editor').

ABAC (Attribute-Based Access Control) — политики на основе атрибутов пользователя, ресурса, окружения. Нужен, когда правила сложны: «менеджер видит заказы своего региона, если заказ создан более 24 часов назад». Casbin — кроссплатформенная библиотека для ABAC.

ReBAC (Relationship-Based Access Control) — модель Google Zanzibar. Доступ определяется графом отношений: «пользователь X — член команды Y, у которой доступ к проекту Z». OpenFGA — open source реализация от Okta. Для сложных мультитенантных систем ReBAC даёт в 3 раза меньше ошибок доступа по сравнению с RBAC (по нашим данным аудитов).

Two-Factor Authentication: TOTP, SMS, WebAuthn

TOTP (Google Authenticator, Authy) — стандарт. Библиотеки: otplib (Node.js), pragmarx/google2fa (Laravel). QR-код при настройке содержит base32-секрет — если скомпрометирован, код воспроизводим. Храним секрет зашифрованным.

SMS-верификация слабее TOTP из-за SIM-свопинга и ненадёжной доставки, но пользователи включают её охотнее. Email-OTP — компромисс между безопасностью и UX.

WebAuthn (Passkeys) — биометрия или аппаратный ключ вместо пароля. Приватный ключ на устройстве, публичный на сервере. Нет пароля — нет утечки. Поддерживается всеми современными браузерами. @simplewebauthn/server + @simplewebauthn/browser — хорошая Node.js библиотека.

Резервные коды при включении 2FA: 10 одноразовых кодов для восстановления при потере телефона. Храним хешированными (bcrypt), показываем только при генерации.

Common Vulnerabilities We Eliminate

Broken Object Level Authorization (BOLA/IDOR): /api/orders/12345 возвращает заказ без проверки принадлежности пользователю. Самая частая API-уязвимость по OWASP. Каждый запрос к ресурсу — проверка через $user->can('view', $order).

Mass Assignment: User::create($request->all()) — пользователь передаёт is_admin: true в теле запроса. Laravel решает через $fillable / $guarded, но часто забывают.

Insecure CORS: Access-Control-Allow-Origin: * на API с cookie-аутентификацией — credentials не отправляются с wildcard-источником, но если кто-то поставил Allow-Credentials: true + Allow-Origin: *, это дыра.

Process: From Requirements to Secure Production

1. Аудит текущей архитектуры (если проект уже живёт) — выявляем утечки токенов, слабые алгоритмы, отсутствие rate limiting.
2. Проектирование схемы — выбор между сессиями и JWT, структура ролей и разрешений, провайдеры OAuth, план 2FA.
3. Реализация — пишем код с покрытием тестов (unit + integration + security).
4. Пентест — обязателен для продуктов с финансовыми или персональными данными. Проводим автоматическое и ручное тестирование.
5. Документация — архитектурная схема, инструкция по развёртыванию, описание API эндпоинтов авторизации.
6. Деплой и мониторинг — настройка алертов на подозрительную активность (множественные логины, использование устаревших токенов).
7. Пост-релизная поддержка — 30 дней исправлений и консультаций.

What’s Included in the Deliverable

• Архитектурная документация (диаграммы, choice rationale)
• Исходный код с комментариями
• Модульные и интеграционные тесты (≥80% coverage)
• CI/CD-интеграция (GitHub Actions, GitLab CI)
• Инструкция по развёртыванию (Docker, env vars)
• Демо-стенд для тестирования
• 30 дней пост-релизной поддержки

Timeline and Project Estimate

Стоимость рассчитывается индивидуально. Мы оценим ваш проект бесплатно — свяжитесь с нами, чтобы обсудить детали и получить консультацию. Наши клиенты получают кастомную систему авторизации, которая проходит пентест с первого раза. Закажите аудит текущей auth-логики или разработку с нуля — напишите нам.