使用 Laravel 签名的 URL

WPCMF 开源内容管理系统 

https://gitee.com/wpcmf/wpcmf.git

在一个项目中，您可能需要生成唯一的 URL，这些 URL 执行一些您需要确保用户没有以任何方式更改 URL 的代码。例如，从时事通讯中取消订阅用户，或者为用户创建一个无需密码即可注册的链接，您可能还希望仅为您的电子邮件订阅者提供折扣。

无论您的用例是什么，Laravel 都提供了允许我们使用签名 URL 的功能。

生成签名 URL
要生成签名 URL，我们需要做的第一件事是创建一个命名路由。例如，我将创建一个命名路由，以便在用户单击链接时取消订阅。

// routes/web.php
Route::get('/unsubscribe/{user}', [SubscriptionsController::class, 'unsubscribe'])
       ->name('unsubscribe');

现在，要生成签名 URL，我们可以使用 URL 

use Illuminate\Support\Facades\URL;

return URL::signedRoute('unsubscribe', ['user' => 1]);

该signedRoute方法的第一个参数是路由的名称。这里我使用的是unsubscribed因为这是我们在上面给路由指定的名称，第二个参数是我们要传递给路由的路由参数，在本例中是用户 ID。此方法将返回一个类似这样的 URL：

https://yoursite.com/unsubscribe/1?signature=7594beb1a7af889d997eedc50f68eadb8b2e8d4097ba3a9ff1c600ffa8a02e49

正如你所看到的，Laravelsignature使用散列附加了一个参数到 URL，这表示 URL，因此如果用户修改该 URL 的任何部分，散列将无效。

临时签名的 URL
您可能还想创建一个在一段时间后过期的 URL，您也可以使用temporarySignedRoute方法创建这种类型的 URL

return URL::temporarySignedRoute(
    'unsubscribe', now()->addMinutes(30), ['user' => 1]
);

这个方法的第二个参数是 URL 应该过期的时间，使用这个方法expires会在 URL 中添加一个参数，Laravel 会报告这个 URL 无效。

验证 URL
我们现在已经创建了签名 URL，但到目前为止，我们还没有验证哈希。为此，我们可以signed在路由中使用内置的中间件。为此，只需在您的路由声明中添加中间件。

// routes/web.php
 

Route::get('/unsubscribe/{user}', [SubscriptionsController::class, 'unsubscribe'])
       ->name('unsubscribe')
       ->middleware('signed');

通过添加这个中间件，Laravel 将自动检查哈希并抛出 403 HTTP 代码。

个性化错误页面。
您可能还想自定义当 URL 无效时用户看到的错误。这可以通过为 定义自定义可渲染闭包来实现InvalidSignatureException：

// app\Exceptions\Handler.php
use Illuminate\Routing\Exceptions\InvalidSignatureException;
 
/**
 * Register the exception handling callbacks for the application.
 *
 * @return void
 */
public function register()
{
    $this->renderable(function (InvalidSignatureException $e) {
        return response()->view('error.link-expired', [], 403);
    });
}

在这个闭包中，我们可以定义用户在访问无效的单点 URL 时会看到什么。

在没有中间件的情况下验证 URL
在某些情况下，您可能需要验证控制器中的 URL。您可以通过从路由定义中删除singed中间件来做到这一点，而是hasValidSignature在请求中使用。

public function unsubscribe(Request $request)
{
    if (!$request->hasValidSignature()) {
        abort(401);
    }
    
    //...
}

如果我们需要自定义体验，这可以提供更多的灵活性。