理解令牌无效的原因
在 Laravel Fortify 中，与密码重置或类似验证流程相关的令牌并非简单的随机字符串。为了安全性和功能性，这些令牌需要经过以下处理：
- 哈希与存储： 令牌在生成后会被哈希处理，并与用户ID、创建时间等信息一同存储在数据库的 password_resets（或类似）表中。
- 有效期管理： 令牌具有有效期，过期后将失效。
- 验证机制： Fortify 内部的路由和控制器在接收到包含令牌的请求时，会查询数据库，验证令牌的有效性、是否过期以及是否与对应用户匹配。
直接使用 Str::random(60) 生成的字符串，虽然看起来随机，但它并未经过哈希处理，也未存储到数据库中，更没有与 Fortify 的内部验证机制关联。因此，当 Fortify 尝试验证这样一个令牌时，它会发现数据库中不存在对应的记录，从而导致令牌验证失败。
正确生成 Fortify 兼容令牌的方法
Laravel 提供了一个专门用于管理密码重置令牌的服务——Illuminate\Auth\Passwords\PasswordBroker。这个服务负责令牌的生成、哈希、存储以及后续的验证。要生成一个 Fortify 能够识别和接受的令牌，您应该通过 PasswordBroker 来完成。
以下是获取 PasswordBroker 实例并生成令牌的正确代码：
use Illuminate\Auth\Passwords\PasswordBroker;
use App\Models\User; // 假设您的用户模型是 App\Models\User
// ... 在您的控制器或服务中
/**
* 为指定用户生成一个 Fortify 兼容的密码重置令牌。
*
* @param User $user
* @return string
*/
public function generateFortifyCompatibleToken(User $user): string
{
// 通过 Laravel 的服务容器获取 PasswordBroker 实例
$passwordBroker = app(PasswordBroker::class);
// 使用 PasswordBroker 为用户生成令牌
// 这个方法会自动处理令牌的哈希、存储到数据库等操作
$token = $passwordBroker->createToken($user);
return $token;
}
// 示例用法：
// 假设您已经创建了一个新用户 $newUser
// $newUser = User::create([...]);
// $token = $this->generateFortifyCompatibleToken($newUser);将令牌集成到自定义邮件流程中
假设您正在实现一个新用户注册后发送“设置密码”链接的流程，类似于 Fortify 的密码重置流程。您可以将上述令牌生成逻辑整合到您的用户创建和通知发送方法中。
示例代码：
validated(),
// 为新用户生成一个随机密码，或者留空，因为用户将通过邮件设置新密码
['password' => bcrypt(\Illuminate\Support\Str::random(8))]
)
);
// 2. 生成 Fortify 兼容的令牌
// 注意：这里使用 app() 助手函数获取 PasswordBroker 实例
$token = app(PasswordBroker::class)->createToken($user);
// 3. 发送包含令牌的通知邮件
// 假设您有一个名为 SendPasswordCreateNotification 的通知类
// 这个通知类应该构建一个包含令牌和用户邮箱的 URL
$user->sendPasswordCreateNotification($token);
return redirect()->back()->with('success', '用户已创建，密码设置链接已发送至其邮箱。');
}
}通知类 (SendPasswordCreateNotification) 示例：
您的通知类（通常位于 app/Notifications）需要构建一个指向 Fortify 密码重置路由的 URL。
token = $token;
}
/**
* Get the notification's delivery channels.
*
* @param mixed $notifiable
* @return array
*/
public function via($notifiable)
{
return ['mail'];
}
/**
* Get the mail representation of the notification.
*
* @param mixed $notifiable
* @return \Illuminate\Notifications\Messages\MailMessage
*/
public function toMail($notifiable)
{
// Fortify 的密码重置路由通常是 'password.reset'
// 它需要 token 和 email 参数
$url = route('password.reset', [
'token' => $this->token,
'email' => $notifiable->getEmailForPasswordReset(), // 获取用户用于重置的邮箱
]);
return (new MailMessage)
->subject('请设置您的新密码')
->line('您好，请点击以下链接设置您的新密码：')
->action('设置密码', $url)
->line('如果您没有请求此操作，请忽略此邮件。');
}
}注意事项：
- 用户模型 (User Model)： 确保您的 User 模型使用了 Illuminate\Auth\Passwords\CanResetPassword trait，或者实现了 Illuminate\Contracts\Auth\CanResetPassword 接口。这通常是 Laravel 默认用户模型的一部分。
- Fortify 配置： 确保您的 config/fortify.php 中启用了密码重置功能（Features::resetPasswords()）。
- 路由： Fortify 默认会注册处理密码重置的路由（例如 /reset-password 或 /password/reset），您无需手动创建。
- 安全性： PasswordBroker 已经处理了令牌的安全性，包括哈希存储和过期管理。您只需正确使用它即可。
- getEmailForPasswordReset() 方法： CanResetPassword trait 提供了 getEmailForPasswordReset() 方法，用于获取用户用于密码重置的邮箱地址。在构建 URL 时使用此方法以确保正确性。
总结
在 Laravel Fortify 的自定义邮件验证或密码重置流程中，生成有效的令牌是关键一步。直接使用 Str::random() 无法满足 Fortify 的内部验证机制。通过利用 Laravel 提供的 Illuminate\Auth\Passwords\PasswordBroker 服务，您可以安全、正确地生成 Fortify 兼容的令牌。这不仅保证了功能的正常运作，也维护了应用程序的安全性。始终优先使用 Laravel 提供的内置机制来处理安全敏感的操作，以避免潜在的漏洞和兼容性问题。
