Laravel集成Perfect Money支付后，跳转取消/成功URL时出现登出问题

核心问题分析 #

你遇到的「会话丢失」并非Perfect Money清除了你的服务器会话，而是Perfect Money的回调请求是无会话Cookie的第三方请求——Laravel无法识别这个请求属于已登录用户，因此跳转到登录页。另外，支付URL能复用支付信息是因为你生成的请求参数被Perfect Money服务器绑定了上下文，而非会话被跨站操作。

具体解决思路 #

1. 放弃回调路由依赖会话，改用订单+签名验证 #

把回调URL加入VerifyCsrfToken的$except后，该路由不再验证CSRF，但也无法依赖会话识别用户。正确的做法是通过业务参数关联用户，同时验证请求合法性：

• 生成支付表单时，在PAYMENT_ID字段传入你的订单ID（比如$order->id），Perfect Money会在回调时返回这个值。
• 回调路由中，通过订单ID查询关联的用户，同时严格按照Perfect Money官方文档验证签名，确保请求是官方发起的。

示例代码：

// 生成支付表单时传递订单ID
<form method="POST" action="https://perfectmoney.is/api/step1.asp">
    <input type="hidden" name="PAYEE_ACCOUNT" value="你的Perfect Money账户">
    <input type="hidden" name="PAYMENT_AMOUNT" value="{{ $order->amount }}">
    <input type="hidden" name="PAYMENT_ID" value="{{ $order->id }}"> <!-- 订单ID -->
    <input type="hidden" name="RETURN_URL" value="{{ route('payment.success') }}">
    <input type="hidden" name="CANCEL_URL" value="{{ route('payment.cancel') }}">
    <!-- 其他必填参数 -->
    <button type="submit">支付</button>
</form>

// 回调路由中的签名验证示例（以官方文档为准）
public function handleCallback(Request $request)
{
    // 1. 通过PAYMENT_ID查询订单
    $order = Order::find($request->input('PAYMENT_ID'));
    if (!$order) {
        abort(404);
    }

    // 2. 验证Perfect Money签名
    $signature = hash('sha256', $request->input('PAYEE_ACCOUNT') . ':' . $request->input('PAYMENT_AMOUNT') . ':' . $request->input('PAYMENT_ID') . ':' . $request->input('PAYMENT_UNITS') . ':' . $request->input('PAYMENT_BATCH_NUM') . ':' . $request->input('PAYER_ACCOUNT') . ':' . '你的Perfect Money密钥' . ':' . $request->input('TIMESTAMPGMT'));
    
    if ($signature !== $request->input('V2_HASH')) {
        abort(403, '签名验证失败');
    }

    // 3. 处理订单状态更新（成功/失败）
    // ...

    // 4. 重定向到用户的订单页面（用订单ID生成带参数的URL，前端根据参数加载内容）
    return redirect()->route('user.order', ['id' => $order->id]);
}

2. 修正支付表单的提交方式与参数 #

你遇到的URL复用问题，大概率是因为支付表单用了GET提交，或者参数中携带了会话相关信息：

• 严格使用POST方式提交支付表单，避免参数暴露在URL中。
• 生成表单时只传递Perfect Money要求的必要参数，不要包含任何Laravel会话ID、用户ID等敏感信息，防止被第三方复用。

3. 调整会话配置（可选） #

如果必须在回调中使用会话（不推荐），可以尝试调整config/session.php中的same_site配置为'lax'，并确保secure配置符合你的网站HTTPS状态，但第三方请求跨域携带Cookie的兼容性较差，不建议依赖这种方式。

关键提示 #

永远不要依赖第三方支付网关的回调请求携带你的网站会话，这不符合跨域安全规范。所有回调逻辑都应该通过业务唯一标识（如订单ID）+ 官方签名验证来实现，既安全又能避免会话相关问题。

内容的提问来源于stack exchange，提问作者Web Star