本文详细介绍了在laravel Fortify中实现自定义密码创建（类似欢迎邮件）时，如何正确生成并使用有效的密码重置令牌。通过利用Laravel内置的PasswordBroker服务，开发者可以确保生成的令牌符合系统验证机制，从而成功引导用户设置新密码，避免了直接使用随机字符串导致令牌无效的问题。
1. 理解问题：自定义密码创建与令牌验证
在Laravel应用中，有时我们需要实现一个用户创建流程，例如管理员创建新用户后，系统向新用户发送一封包含链接的邮件，引导他们首次设置密码。这与传统的“忘记密码”流程类似，但目的不同。
开发者在尝试实现此类功能时，可能会直观地使用Str::random()等方法生成一个随机字符串作为令牌，并将其发送给用户。例如：
public function store(UserCreateRequest $request): redirectResponse { $token = Str::random(60); // 错误示范：此令牌无法被Fortify验证 $user = User::create( array_merge( $request->validated(), ['password' => bcrypt(Str::random(8))] ) ); $user->sendPasswordCreateNotification($token); // ... }
然而，这种方法生成的令牌是无效的。原因在于Laravel Fortify（或更底层Laravel的密码重置机制）在验证令牌时，不仅仅是检查字符串本身，它还需要这个令牌与数据库中password_resets（或自定义的重置表）里存储的记录相匹配，并且令牌必须是系统通过特定算法生成的。直接使用Str::random()生成的令牌没有经过这个注册过程，因此无法通过验证。
2. 正确的解决方案：使用 PasswordBroker
Laravel提供了一个专门的服务来处理密码重置令牌的生成和验证，即 IlluminateAuthPasswordsPasswordBroker。这个服务负责：
- 生成一个加密的、与用户关联的令牌。
- 将这个令牌及其相关信息（如用户ID、创建时间）存储到数据库的password_resets表中。
- 提供验证令牌的方法。
要生成一个Fortify能够识别并验证的有效令牌，我们应该通过PasswordBroker服务来完成。
use IlluminateAuthPasswordsPasswordBroker; use AppModelsUser; // 假设您的用户模型是AppModelsUser // ... 在您的控制器或服务中 $user = User::find(1); // 假设这是您要为其生成令牌的用户实例 // 获取PasswordBroker实例并生成令牌 $token = app(PasswordBroker::class)->createToken($user); // 现在，$token 就是一个有效的、与$user关联的密码重置令牌 // 并且它已经被存储在数据库中，等待用户使用。
3. 集成到自定义密码创建流程
将上述解决方案集成到您的自定义用户创建流程中，可以确保生成的令牌是有效的。以下是一个完整的示例，展示如何在创建用户后，为其生成一个有效的密码设置令牌并发送通知：
<?php namespace AppHttpControllers; use AppModelsUser; use AppHttpRequestsUserCreateRequest; // 假设您有这个请求类 use IlluminateHttpRedirectResponse; use IlluminateAuthPasswordsPasswordBroker; // 引入PasswordBroker类 use IlluminateSupportStr; // 用于生成初始随机密码 class UserController extends Controller { /** * 创建新用户并发送密码设置链接。 */ public function store(UserCreateRequest $request): RedirectResponse { // 1. 创建用户实例 // 初始密码可以随机生成，因为用户将通过链接设置新密码 $user = User::create( array_merge( $request->validated(), ['password' => bcrypt(Str::random(12))] // 为新用户设置一个随机的初始密码 ) ); // 2. 使用PasswordBroker生成有效的密码重置令牌 // 这一步会将令牌存储在password_resets表中 $token = app(PasswordBroker::class)->createToken($user); // 3. 发送包含令牌的密码创建通知 // 假设您的User模型中定义了sendPasswordCreateNotification方法 // 该方法会构建一个包含令牌的URL并发送邮件 $user->sendPasswordCreateNotification($token); return redirect()->back()->with('success', '用户创建成功，密码设置链接已发送至其邮箱！'); } }
4. 构建密码设置通知
在User模型中，您需要定义sendPasswordCreateNotification方法，该方法会构建一个包含令牌的URL并发送邮件。这个URL应该指向Fortify提供的密码重置路由。
示例：AppModelsUser.php
<?php namespace AppModels; use IlluminateContractsAuthMustVerifyEmail; use IlluminateDatabaseEloquentFactoriesHasFactory; use IlluminateFoundationAuthUser as Authenticatable; use IlluminateNotificationsNotifiable; use AppNotificationsPasswordCreateNotification; // 引入您的通知类 class User extends Authenticatable { use HasFactory, Notifiable; // ... 其他属性和方法 /** * 发送密码创建通知。 * * @param string $token * @return void */ public function sendPasswordCreateNotification(string $token) { $this->notify(new PasswordCreateNotification($token)); } }
示例：AppNotificationsPasswordCreateNotification.php
<?php namespace AppNotifications; use IlluminateBusQueueable; use IlluminateContractsQueueShouldQueue; use IlluminateNotificationsMessagesMailMessage; use IlluminateNotificationsNotification; use IlluminateSupportFacadesLang; // 用于多语言支持 class PasswordCreateNotification extends Notification { use Queueable; public $token; /** * 创建一个新的通知实例。 * * @param string $token * @return void */ public function __construct(string $token) { $this->token = $token; } /** * 获取通知的交付渠道。 * * @param mixed $notifiable * @return array */ public function via($notifiable) { return ['mail']; } /** * 获取通知的邮件表示。 * * @param mixed $notifiable * @return IlluminateNotificationsMessagesMailMessage */ public function toMail($notifiable) { $url = route('password.reset', [ 'token' => $this->token, 'email' => $notifiable->getEmailForPasswordReset(), // 获取用户用于重置密码的邮箱 ]); return (new MailMessage) ->subject(Lang::get('设置您的账户密码')) ->line(Lang::get('您好！请点击下面的按钮设置您的账户密码。')) ->action(Lang::get('设置密码'), $url) ->line(Lang::get('此密码设置链接将在 :count 分钟内失效。', ['count' => config('auth.passwords.users.expire')])); } }
注意：
- config(‘auth.passwords.users.expire’) 默认是 60 分钟，您可以在 config/auth.php 中配置。
- $notifiable->getEmailForPasswordReset() 方法通常返回用户的 email 属性。
5. 注意事项与总结
- 数据库迁移： 确保您已经运行了Laravel的密码重置迁移，即 password_resets 表存在于您的数据库中。如果尚未运行，请执行 php artisan migrate。
- Fortify路由： 确保Fortify的密码重置相关路由（如 password.reset）已正确注册并可用。通常在安装Fortify后，这些路由会自动注册。
- 安全性： PasswordBroker 生成的令牌是加密的、有时效性的，并且默认是单次使用的。一旦用户通过链接设置了密码，该令牌就会失效。
- 错误处理： 在实际应用中，您可能需要为邮件发送失败等情况添加错误处理逻辑。
- 用户体验： 在用户成功设置密码后，引导他们登录或提供下一步操作的指引，以提供更好的用户体验。
通过遵循上述指南，利用Laravel内置的PasswordBroker服务，您可以有效地在Laravel Fortify中实现自定义的用户密码创建流程，确保令牌的生成和验证机制的健壮性和安全性。
评论（已关闭）
评论已关闭