在Laravel Fortify中，当需要为用户发送自定义的密码创建或重置链接时，直接使用Str::random()生成令牌是无效的。本文将详细讲解如何通过利用Laravel内置的PasswordBroker服务来生成符合Fortify验证机制的有效令牌，确保用户能够成功设置或重置密码，从而实现灵活的密码管理流程。
理解问题：为什么 Str::random() 生成的令牌无效？
在定制Laravel Fortify的认证流程时，例如实现一个“欢迎邮件”式的初始密码设置流程，或者一个非标准的密码重置流程，开发者可能会尝试手动生成一个随机字符串作为密码设置令牌。常见的方法是使用 Str::random(60)。然而，这种方法生成的令牌在Fortify或Laravel的内置密码重置机制中是无效的，会导致“令牌不被接受”的错误。
其根本原因在于，Laravel的密码重置系统（包括Fortify所依赖的底层机制）不仅仅是生成一个随机字符串。它要求令牌必须经过特定的处理：
哈希处理： 令牌在存储到数据库（通常是 password_resets 表）之前会被哈希。数据库存储： 令牌、用户邮箱以及创建时间需要被记录到 password_resets 表中。验证逻辑： 当用户点击链接并提交新密码时，系统会查找数据库中对应的记录，并对用户提供的令牌进行哈希后与数据库中存储的哈希值进行比对。
Str::random() 仅仅生成一个随机字符串，它不执行哈希，也不负责将令牌信息存储到数据库中。因此，当Fortify尝试验证这个手动生成的令牌时，由于缺乏对应的数据库记录和正确的哈希比对，验证自然会失败。
解决方案：使用 PasswordBroker 服务生成有效令牌
Laravel提供了一个专门的服务来处理密码重置令牌的生成和管理，即 IlluminateAuthPasswordsPasswordBroker。这个服务负责所有必要的底层操作，包括生成加密安全的令牌、对其进行哈希处理，并将其存储到 password_resets 表中。
使用 PasswordBroker 生成令牌的正确方法是调用其 createToken() 方法，并传入对应的用户模型实例。
示例代码
以下代码展示了如何在你的控制器或服务中，为新创建的用户生成一个有效的密码创建令牌，并发送通知：
validate([ 'name' => 'required|string|max:255', 'email' => 'required|string|email|max:255|unique:users', // 根据需要添加其他用户字段的验证规则 ]); // 2. 创建用户实例 // 为新用户设置一个临时或占位密码。 // 最终的密码将由用户通过链接设置。 $user = User::create(array_merge( $validatedData, ['password' => Hash::make(Str::random(10))] // 创建一个临时密码 )); // 3. 使用 PasswordBroker 生成有效令牌 // 这是关键步骤：PasswordBroker 会生成令牌，哈希它，并将其存储到 password_resets 表中。 $token = app(PasswordBroker::class)->createToken($user); // 4. 发送密码创建/重置通知 // 确保你的通知类 (例如 sendPasswordCreateNotification) 能够接收并正确使用这个令牌。 // 通知中应包含一个指向 Fortify 密码重置路由的 URL，并附带此令牌。 // 例如：URL::temporarySignedRoute('password.reset', now()->addMinutes(60), ['token' => $token, 'email' => $user->email]); $user->sendPasswordCreateNotification($token); // 5. 返回成功响应 return redirect()->route('users.index')->with('status', '用户创建成功，密码设置链接已发送！'); }}
代码解析
use IlluminateAuthPasswordsPasswordBroker;: 引入 PasswordBroker 类。$user = User::create(…): 正常创建用户，可以为其设置一个临时密码或空密码，具体取决于你的业务逻辑。Fortify的密码重置机制最终会处理用户设置的新密码。$token = app(PasswordBroker::class)->createToken($user);: 这是核心所在。app(PasswordBroker::class) 从服务容器中解析出 PasswordBroker 实例。createToken($user) 方法接收一个 User 模型实例。它会执行以下操作：生成一个加密安全的原始令牌。对这个原始令牌进行哈希。将哈希后的令牌、用户邮箱和当前时间戳存储到 config/auth.php 中 passwords.users.table 配置指定的表中（默认为 password_resets）。返回原始的、未哈希的令牌。这个原始令牌就是你需要发送给用户的，用于构建密码重置链接的部分。$user->sendPasswordCreateNotification($token);: 你的自定义通知类（sendPasswordCreateNotification）需要将这个 $token 包含在发送给用户的邮件链接中。通常，这个链接会指向Fortify的密码重置路由，例如：{{ route(‘password.reset’, [‘token’ => $token, ’email’ => $user->email]) }}
注意事项与最佳实践
通知类集成： 确保你的自定义通知类（例如 PasswordCreateNotification 或 PasswordResetNotification）正确地接收了 PasswordBroker 生成的 $token，并将其嵌入到邮件中的密码设置链接里。链接的格式应与Fortify或Laravel默认的密码重置路由期望的格式一致（通常是 /reset-password/{token}?email={email}）。
config/auth.php 配置： 检查你的 config/auth.php 文件，确保 passwords 数组下的 users 配置正确，特别是 table 键，它指定了存储密码重置令牌的数据库表（默认为 password_resets）。
Fortify 路由： 确认 Fortify 的密码重置相关路由已启用并可访问。通常在 AuthServiceProvider 中调用 Fortify::routes() 会注册这些路由。
安全性： PasswordBroker 已经处理了令牌生成和存储的安全性细节。避免自行实现令牌的哈希和存储逻辑，以免引入安全漏洞。
令牌有效期： PasswordBroker 生成的令牌有默认的有效期（可在 config/auth.php 的 passwords.users.expire 中配置，默认为60分钟）。确保你的业务流程考虑了令牌过期的情况。
总结
在Laravel Fortify中实现自定义的密码创建或重置流程时，生成有效令牌的关键在于使用 IlluminateAuthPasswordsPasswordBroker 服务。通过调用 createToken($user) 方法，你可以确保生成的令牌符合Laravel的内部机制，从而让用户能够顺利地设置或重置他们的密码。遵循本文的指导和最佳实践，将有助于构建一个安全、健壮且用户体验良好的密码管理系统。
以上就是Laravel Fortify：在自定义密码创建流程中生成有效令牌的正确方法的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1270415.html
微信扫一扫 
支付宝扫一扫 
