Laravel 10+Fortify邮箱验证429问题：如何提升限流阈值？

你遇到的核心问题是：当前配置的限流仅针对api路由组，但邮箱验证的路由属于Laravel Fortify注册的web路由，默认自带独立的限流规则，所以你的api限流设置完全没作用在邮箱验证请求上。

Laravel默认对邮箱验证这类敏感路由设置了严格的限流（通常是throttle:6,1，即每分钟6次请求），这就是你收到429错误的原因。

解决步骤 #

1. 添加邮箱验证专属限流规则

在App\Providers\RouteServiceProvider的configureRateLimiting方法中，新增针对邮箱验证的限流配置：

/**
 * Configure the rate limiters for the application.
 */
protected function configureRateLimiting(): void
{
    // 保留原有的API限流
    RateLimiter::for('api', function (Request $request) {
        return Limit::perMinute(200)->by($request->user()?->id ?: $request->ip());
    });

    // 新增邮箱验证限流规则
    RateLimiter::for('email-verification', function (Request $request) {
        // 可按IP限制，或按验证链接中的用户ID限制
        return Limit::perMinute(200)->by($request->ip());
        // 若要按用户ID限制，可替换为：
        // return Limit::perMinute(200)->by($request->route('id'));
    });
}

2. 替换Fortify邮箱验证路由的限流中间件

在App\Providers\FortifyServiceProvider的boot方法中，自定义邮箱验证路由，替换默认的限流中间件为我们刚创建的规则：

use Laravel\Fortify\Http\Controllers\VerifyEmailController;

public function boot()
{
    Fortify::verifyEmailView(function () {
        return view('auth.verify-email');
    });

    // 覆盖默认邮箱验证路由，应用自定义限流
    Route::get('/email/verify/{id}/{hash}', [VerifyEmailController::class, '__invoke'])
        ->middleware(['auth', 'signed', 'throttle:email-verification'])
        ->name('verification.verify');
}

3. 清除缓存

修改配置后，执行以下命令清除路由和配置缓存：

php artisan route:clear
php artisan config:clear

额外检查点 #

• 如果你手动在routes/web.php注册过邮箱验证路由，确保该路由也使用了throttle:email-verification中间件。
• 若需要更宽松的限制，可调整Limit::perMinute(200)中的数值，比如改为perMinute(500)。

内容的提问来源于stack exchange，提问作者Ryan H