Laravel API邮箱验证流程问题及优化方案咨询

1. 调整登录路由的中间件 #

确保登录接口不强制邮箱验证，让未验证邮箱的用户能正常登录获取令牌。检查你的登录路由，移除EnsureEmailIsVerified中间件：

// 示例登录路由，仅保留账号密码验证，无需邮箱验证
Route::post('/login', [AuthController::class, 'login']);

2. 修改EnsureEmailIsVerified中间件，放行重发验证邮件接口 #

在你重写的中间件中，增加判断逻辑，允许已登录未验证用户访问/email/send-verification接口：

public function handle(Request $request, Closure $next, $redirectToRoute = null)
{
    // 放行重发验证邮件的接口
    if ($request->is('email/send-verification')) {
        return $next($request);
    }

    if (! $request->user() ||
        ($request->user() instanceof MustVerifyEmail &&
        ! $request->user()->hasVerifiedEmail())) {
        if ($request->expectsJson()) {
            return response()->json(['message' => '您的邮箱未验证'], 403);
        }

        return redirect()->route($redirectToRoute ?: 'verification.notice');
    }

    return $next($request);
}

这样已登录的未验证用户可以正常调用重发接口，其他需要验证的接口仍会返回403提示。

1. 注册后自动发送验证邮件 #

无需用户手动触发，注册成功后立即发送验证邮件，减少用户操作步骤。在RegisterController中重写registered方法：

protected function registered(Request $request, $user)
{
    // 自动发送验证邮件
    $user->sendEmailVerificationNotification();
    
    // 返回令牌及验证状态
    $token = $user->createToken('auth_token')->plainTextToken;
    return response()->json([
        'access_token' => $token,
        'token_type' => 'Bearer',
        'email_verified' => $user->hasVerifiedEmail(),
        'message' => '注册成功，请查收邮箱完成验证'
    ]);
}

2. 登录时返回验证状态 #

登录接口返回用户的邮箱验证状态，让前端自主判断跳转逻辑，而非直接返回403：

public function login(Request $request)
{
    $credentials = $request->validate([
        'email' => 'required|email',
        'password' => 'required'
    ]);

    if (Auth::attempt($credentials)) {
        $user = Auth::user();
        $token = $user->createToken('auth_token')->plainTextToken;
        
        return response()->json([
            'access_token' => $token,
            'token_type' => 'Bearer',
            'email_verified' => $user->hasVerifiedEmail(),
            'message' => $user->hasVerifiedEmail() ? '登录成功' : '请先完成邮箱验证'
        ]);
    }

    return response()->json(['message' => '账号或密码错误'], 401);
}

前端拿到email_verified字段后，可直接跳转到验证提示页，并使用返回的令牌调用重发接口。

3. 给验证链接添加有效期 #

Laravel默认验证链接长期有效，自定义通知类添加24小时有效期：

// app/Notifications/VerifyEmail.php
namespace App\Notifications;

use Illuminate\Auth\Notifications\VerifyEmail as BaseVerifyEmail;
use Illuminate\Support\Carbon;
use Illuminate\Support\Facades\URL;

class VerifyEmail extends BaseVerifyEmail
{
    protected function verificationUrl($notifiable)
    {
        return URL::temporarySignedRoute(
            'verification.verify',
            Carbon::now()->addHours(24),
            ['id' => $notifiable->getKey(), 'hash' => sha1($notifiable->getEmailForVerification())]
        );
    }
}

然后在User模型中替换默认通知：

use App\Notifications\VerifyEmail;

public function sendEmailVerificationNotification()
{
    $this->notify(new VerifyEmail);
}

4. 优化验证成功后的前端跳转 #

验证完成后，后端重定向到前端页面并携带验证成功标识，方便前端处理：

// VerificationController的verify方法
public function verify(Request $request)
{
    if (! hash_equals((string) $request->route('id'), (string) $request->user()->getKey()) ||
        ! hash_equals((string) $request->route('hash'), sha1($request->user()->getEmailForVerification()))) {
        abort(403, '无效的验证链接');
    }

    if (! $request->user()->hasVerifiedEmail()) {
        $request->user()->markEmailAsVerified();
        event(new \Illuminate\Auth\Events\Verified($request->user()));
    }

    // 重定向到前端登录页，携带验证成功参数
    return redirect(env('FRONTEND_URL') . '/login?verified=1');
}

前端读取verified参数后，提示用户验证成功并引导登录。

内容的提问来源于stack exchange，提问作者njk18