Laravel 11 Breeze重置密码功能中Crypt Facades加密邮箱查询问题

核心问题分析 #

你遇到的问题根源是AES-256-CBC加密的随机性：Laravel的Crypt facade每次加密会生成随机IV（初始化向量），所以同一明文邮箱每次加密后的密文都不一样，直接用加密后的输入邮箱去匹配数据库字段必然失败。全表遍历解密对比的方式性能极差，必须换更高效的方案。

推荐方案：添加邮箱哈希索引字段（高效且安全） #

通过给用户表新增一个存储明文邮箱哈希值的字段，利用哈希值的固定性实现索引查询，再配合解密验证双重保障，既解决性能问题又保证安全。

步骤1：新增email_hash字段 #

生成迁移文件：

php artisan make:migration add_email_hash_to_users_table

编辑迁移文件：

<?php

use Illuminate\Database\Migrations\Migration;
use Illuminate\Database\Schema\Blueprint;
use Illuminate\Support\Facades\Schema;

return new class extends Migration
{
    public function up()
    {
        Schema::table('users', function (Blueprint $table) {
            $table->string('email_hash')->unique()->after('email');
        });
    }

    public function down()
    {
        Schema::table('users', function (Blueprint $table) {
            $table->dropColumn('email_hash');
        });
    }
};

执行迁移：

php artisan migrate

步骤2：自动生成邮箱哈希值 #

在User模型中添加逻辑，确保创建/更新用户时自动计算并存储明文邮箱的哈希值：

<?php

namespace App\Models;

use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Support\Facades\Crypt;

class User extends Authenticatable
{
    // ... 其他代码

    protected static function booted()
    {
        static::saving(function ($user) {
            // 仅当邮箱字段变更时更新哈希
            if ($user->isDirty('email')) {
                // 若邮箱已加密，先解密得到明文；若为注册时的明文，直接使用
                $plainEmail = $user->getOriginal('email') ? Crypt::decryptString($user->getOriginal('email')) : $user->email;
                $user->email_hash = hash('sha256', $plainEmail);
            }
        });
    }
}

如果是注册流程中直接加密邮箱，也可以在Breeze的RegisterController的create方法中直接处理：

protected function create(array $data)
{
    $plainEmail = $data['email'];
    return User::create([
        'name' => Crypt::encryptString($data['name']),
        'email' => Crypt::encryptString($plainEmail),
        'email_hash' => hash('sha256', $plainEmail),
        'password' => Hash::make($data['password']),
    ]);
}

步骤3：修改登录逻辑 #

修改Breeze的AuthenticatedSessionController的store方法，用email_hash查询用户，再验证解密后的邮箱一致性：

<?php

namespace App\Http\Controllers\Auth;

use App\Http\Controllers\Controller;
use App\Providers\RouteServiceProvider;
use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Crypt;
use App\Models\User;

class AuthenticatedSessionController extends Controller
{
    // ... 其他代码

    public function store(Request $request): RedirectResponse
    {
        $request->validate([
            'email' => ['required', 'string', 'email'],
            'password' => ['required', 'string'],
        ]);

        $plainEmail = $request->email;
        $emailHash = hash('sha256', $plainEmail);

        // 用哈希值快速查询用户
        $user = User::where('email_hash', $emailHash)->first();

        // 验证用户存在、密码正确，且解密后的邮箱与输入一致
        if (!$user || !Auth::validate(['email' => Crypt::decryptString($user->email), 'password' => $request->password])) {
            return back()->withErrors([
                'email' => __('auth.failed'),
            ])->onlyInput('email');
        }

        Auth::login($user);
        $request->session()->regenerate();

        return redirect()->intended(RouteServiceProvider::HOME);
    }
}

备选方案：数据库层面直接解密查询（性能差，仅适用于小数据量） #

如果不想新增字段，可以利用数据库的AES解密函数直接查询，但此方法无法使用索引，会全表扫描，数据量大时性能堪忧。

以MySQL为例，Laravel的加密字符串格式为base64(iv:密文:MAC)，需拆分IV和密文后解密：

<?php

use Illuminate\Support\Facades\DB;
use Illuminate\Support\Str;

$plainEmail = $request->email;
// 解析APP_KEY：去掉base64前缀后解码
$key = Str::after(config('app.key'), 'base64:');
$rawKey = base64_decode($key);

$user = DB::table('users')
    ->whereRaw("AES_DECRYPT(UNHEX(SUBSTRING_INDEX(SUBSTRING_INDEX(FROM_BASE64(email), ':', 2), ':', -1)), ?, UNHEX(SUBSTRING_INDEX(FROM_BASE64(email), ':', 1))) = ?", [$rawKey, $plainEmail])
    ->first();

内容的提问来源于stack exchange，提问作者Pragna