为何Fortify的邮箱验证路由挂载了Auth中间件？

设计初衷 #

Fortify给邮箱验证路由挂载Auth中间件，核心是为了双重安全验证：

• 验证链接里的{id}是用户ID，{hash}是基于用户邮箱和ID生成的签名，但仅靠签名还不够——Auth中间件能确保发起请求的用户，和链接指向的用户是当前会话的同一人，避免攻击者盗用他人的验证链接（比如用户误转发邮件后，第三方用链接完成不属于自己的邮箱验证）。
• 这种设计是把会话身份和链接签名结合，进一步缩小攻击面，符合Laravel生态优先保障安全的思路。

无会话验证场景的解决办法 #

如果你的业务需要支持用户跨设备（无会话Cookie）点击链接验证邮箱，可以按以下方式调整：

1. 修改路由中间件
   直接移除Auth中间件，保留signed（验证链接合法性）和throttle（防暴力请求）中间件：

Route::get(RoutePath::for('verification.verify', '/email/verify/{id}/{hash}'), [VerifyEmailController::class, '__invoke'])
            ->middleware(['signed', 'throttle:' . $verificationLimiter])
            ->name('verification.verify');

2. 调整控制器逻辑
   移除Auth中间件后，控制器无法通过auth()直接获取用户，需要手动从路由参数查询并验证：
   打开VerifyEmailController，修改__invoke方法：

public function __invoke(Request $request)
{
    $user = User::findOrFail($request->route('id'));

    // 验证hash是否匹配用户邮箱
    if (! hash_equals((string) $request->route('hash'), sha1($user->getEmailForVerification()))) {
        abort(403);
    }

    if ($user->hasVerifiedEmail()) {
        return redirect()->intended(Fortify::redirects('email-verified'));
    }

    $user->markEmailAsVerified();
    event(new Verified($user));

    return redirect()->intended(Fortify::redirects('email-verified'));
}

3. 折中方案：保留Auth但兼容无会话
   如果不想完全去掉Auth中间件，可以自定义一个中间件：先尝试通过会话获取用户，失败则通过路由参数的id和hash验证用户身份，通过后手动设置用户会话。这种方式兼顾安全和跨设备验证，但需要额外编写中间件逻辑。

总结 #

Fortify的默认设计偏向安全，但会限制跨设备验证的场景。根据自身业务需求，调整路由中间件和控制器逻辑，就能实现无会话状态下的邮箱验证。

内容的提问来源于stack exchange，提问作者Mike