当在 laravel Fortify 中自定义邮件验证或密码重置流程时，直接使用 Str::random() 生成的令牌往往无法被 Fortify 接受。本文将详细阐述为何手动生成的令牌无效，并提供正确的方法，即利用 Laravel 内置的 PasswordBroker 服务来生成安全且 Fortify 兼容的令牌，确保您的邮件链接能够正常工作，无论是用于新用户密码创建还是密码重置。
理解令牌无效的原因
在 Laravel Fortify 中，与密码重置或类似验证流程相关的令牌并非简单的随机字符串。为了安全性和功能性，这些令牌需要经过以下处理：
- 哈希与存储： 令牌在生成后会被哈希处理，并与用户ID、创建时间等信息一同存储在数据库的 password_resets（或类似）表中。
- 有效期管理： 令牌具有有效期，过期后将失效。
- 验证机制： Fortify 内部的路由和控制器在接收到包含令牌的请求时，会查询数据库，验证令牌的有效性、是否过期以及是否与对应用户匹配。
直接使用 Str::random(60) 生成的字符串，虽然看起来随机，但它并未经过哈希处理，也未存储到数据库中，更没有与 Fortify 的内部验证机制关联。因此，当 Fortify 尝试验证这样一个令牌时，它会发现数据库中不存在对应的记录，从而导致令牌验证失败。
正确生成 Fortify 兼容令牌的方法
Laravel 提供了一个专门用于管理密码重置令牌的服务——IlluminateAuthPasswordsPasswordBroker。这个服务负责令牌的生成、哈希、存储以及后续的验证。要生成一个 Fortify 能够识别和接受的令牌，您应该通过 PasswordBroker 来完成。
以下是获取 PasswordBroker 实例并生成令牌的正确代码：
use IlluminateAuthPasswordsPasswordBroker; use AppModelsUser; // 假设您的用户模型是 AppModelsUser // ... 在您的控制器或服务中 /** * 为指定用户生成一个 Fortify 兼容的密码重置令牌。 * * @param User $user * @return string */ public function generateFortifyCompatibleToken(User $user): string { // 通过 Laravel 的服务容器获取 PasswordBroker 实例 $passwordBroker = app(PasswordBroker::class); // 使用 PasswordBroker 为用户生成令牌 // 这个方法会自动处理令牌的哈希、存储到数据库等操作 $token = $passwordBroker->createToken($user); return $token; } // 示例用法： // 假设您已经创建了一个新用户 $newUser // $newUser = User::create([...]); // $token = $this->generateFortifyCompatibleToken($newUser);
将令牌集成到自定义邮件流程中
假设您正在实现一个新用户注册后发送“设置密码”链接的流程，类似于 Fortify 的密码重置流程。您可以将上述令牌生成逻辑整合到您的用户创建和通知发送方法中。
示例代码：
<?php namespace AppHttpControllers; use AppHttpRequestsUserCreateRequest; use AppModelsUser; use IlluminateHttpredirectResponse; use IlluminateAuthPasswordsPasswordBroker; // 引入 PasswordBroker class UserController extends Controller { /** * 处理新用户的创建和密码设置邮件发送。 * * @param UserCreateRequest $request * @return RedirectResponse */ public function store(UserCreateRequest $request): RedirectResponse { // 1. 创建用户 $user = User::create( array_merge( $request->validated(), // 为新用户生成一个随机密码，或者留空，因为用户将通过邮件设置新密码 ['password' => bcrypt(IlluminateSupportStr::random(8))] ) ); // 2. 生成 Fortify 兼容的令牌 // 注意：这里使用 app() 助手函数获取 PasswordBroker 实例 $token = app(PasswordBroker::class)->createToken($user); // 3. 发送包含令牌的通知邮件 // 假设您有一个名为 SendPasswordCreateNotification 的通知类 // 这个通知类应该构建一个包含令牌和用户邮箱的 URL $user->sendPasswordCreateNotification($token); return redirect()->back()->with('success', '用户已创建，密码设置链接已发送至其邮箱。'); } }
通知类 (SendPasswordCreateNotification) 示例：
您的通知类（通常位于 app/Notifications）需要构建一个指向 Fortify 密码重置路由的 URL。
<?php namespace AppNotifications; use IlluminateBusQueueable; use IlluminateContractsQueueShouldQueue; use IlluminateNotificationsMessagesMailMessage; use IlluminateNotificationsNotification; use IlluminateSupportFacadesURL; // 引入 URL facade class SendPasswordCreateNotification extends Notification implements ShouldQueue { use Queueable; public $token; /** * Create a new notification instance. * * @param string $token * @return void */ public function __construct(string $token) { $this->token = $token; } /** * Get the notification's delivery channels. * * @param mixed $notifiable * @return array */ public function via($notifiable) { return ['mail']; } /** * Get the mail representation of the notification. * * @param mixed $notifiable * @return IlluminateNotificationsMessagesMailMessage */ public function toMail($notifiable) { // Fortify 的密码重置路由通常是 'password.reset' // 它需要 token 和 email 参数 $url = route('password.reset', [ 'token' => $this->token, 'email' => $notifiable->getEmailForPasswordReset(), // 获取用户用于重置的邮箱 ]); return (new MailMessage) ->subject('请设置您的新密码') ->line('您好，请点击以下链接设置您的新密码：') ->action('设置密码', $url) ->line('如果您没有请求此操作，请忽略此邮件。'); } }
注意事项：
- 用户模型 (User Model)： 确保您的 User 模型使用了 IlluminateAuthPasswordsCanResetPassword trait，或者实现了 IlluminateContractsAuthCanResetPassword 接口。这通常是 Laravel 默认用户模型的一部分。
- Fortify 配置： 确保您的 config/fortify.php 中启用了密码重置功能（Features::resetPasswords()）。
- 路由： Fortify 默认会注册处理密码重置的路由（例如 /reset-password 或 /password/reset），您无需手动创建。
- 安全性： PasswordBroker 已经处理了令牌的安全性，包括哈希存储和过期管理。您只需正确使用它即可。
- getEmailForPasswordReset() 方法： CanResetPassword trait 提供了 getEmailForPasswordReset() 方法，用于获取用户用于密码重置的邮箱地址。在构建 URL 时使用此方法以确保正确性。
总结
在 Laravel Fortify 的自定义邮件验证或密码重置流程中，生成有效的令牌是关键一步。直接使用 Str::random() 无法满足 Fortify 的内部验证机制。通过利用 Laravel 提供的 IlluminateAuthPasswordsPasswordBroker 服务，您可以安全、正确地生成 Fortify 兼容的令牌。这不仅保证了功能的正常运作，也维护了应用程序的安全性。始终优先使用 Laravel 提供的内置机制来处理安全敏感的操作，以避免潜在的漏洞和兼容性问题。
评论（已关闭）
评论已关闭