Laravel中Google Authenticator 2FA验证成功后无法跳转首页问题

核心问题原因 #

验证OTP成功后未在会话中标记「已通过2FA验证」，导致包自带的中间件一直判定用户未完成验证，持续重定向到2FA页面。

解决步骤 #

1. 验证OTP后正确标记会话状态 #

在处理OTP提交的控制器方法中，验证通过后必须在会话中存入验证标记：

use PragmaRX\Google2FALaravel\Facade as Google2FA;
use Illuminate\Http\Request;

public function verify2FA(Request $request)
{
    $request->validate([
        'one_time_password' => 'required|digits:6',
    ]);

    $user = auth()->user();
    // 验证OTP是否匹配用户的2FA密钥
    if (Google2FA::verifyKey($user->google2fa_secret, $request->one_time_password)) {
        // 标记会话为已通过2FA验证
        session()->put('google2fa_authenticated', true);
        
        return redirect()->route('dashboard');
    }

    return back()->withErrors(['one_time_password' => '验证码无效，请重新输入']);
}

2. 首次设置2FA的特殊处理 #

如果用户是首次扫描二维码并验证OTP，需要先将生成的2FA密钥保存到用户表，再标记验证状态：

public function confirm2FA(Request $request)
{
    $user = auth()->user();
    // 保存二维码生成时的密钥到用户表
    $user->google2fa_secret = $request->google2fa_secret;
    $user->save();

    // 标记会话验证状态
    session()->put('google2fa_authenticated', true);

    return redirect()->route('dashboard');
}

3. 自定义2FA中间件（替代默认中间件） #

如果默认中间件逻辑不符合需求，可以自己实现中间件来判断验证状态：

创建中间件

php artisan make:middleware Check2FA

编写中间件逻辑

在app/Http/Middleware/Check2FA.php中修改handle方法：

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class Check2FA
{
    public function handle(Request $request, Closure $next)
    {
        $user = auth()->user();

        // 用户未登录，直接跳登录页
        if (!$user) {
            return redirect()->route('login');
        }

        // 用户未设置2FA密钥，直接放行
        if (empty($user->google2fa_secret)) {
            return $next($request);
        }

        // 会话中存在验证标记，说明已通过2FA，放行
        if (session()->has('google2fa_authenticated') && session('google2fa_authenticated')) {
            return $next($request);
        }

        // 未通过验证，跳转到2FA页面
        return redirect()->route('2fa.verify');
    }
}

注册中间件

打开app/Http/Kernel.php，在$routeMiddleware数组中添加：

protected $routeMiddleware = [
    // ... 其他中间件
    '2fa' => \App\Http\Middleware\Check2FA::class,
];

应用到路由组

把需要保护的后台路由用auth和2fa中间件包裹：

Route::middleware(['auth', '2fa'])->group(function () {
    Route::get('/dashboard', [DashboardController::class, 'index'])->name('dashboard');
    // 其他后台路由...
});

4. 登出时清除验证标记 #

在登出逻辑中清除会话里的2FA验证标记，避免下次登录直接跳过验证：

public function logout(Request $request)
{
    // 清除2FA验证标记
    session()->forget('google2fa_authenticated');
    
    auth()->logout();
    $request->session()->invalidate();
    $request->session()->regenerateToken();

    return redirect('/');
}

5. 数据库字段准备 #

确保用户表（如users）有google2fa_secret字段，可通过迁移创建：

php artisan make:migration add_google2fa_secret_to_users_table

迁移文件内容：

public function up()
{
    Schema::table('users', function (Blueprint $table) {
        $table->string('google2fa_secret')->nullable();
    });
}

public function down()
{
    Schema::table('users', function (Blueprint $table) {
        $table->dropColumn('google2fa_secret');
    });
}

执行迁移：

php artisan migrate

内容的提问来源于stack exchange，提问作者Lord Jesus