Laravel 10+Vue3邮箱验证签名无效：HTTPS请求被识别为HTTP

环境与配置 #

• 技术栈：Laravel 10 + Vue 3 + Jetstream + Inertia
• 服务器配置：Web App后台配置为HTTP URL，但已安装SSL证书并开启强制HTTPS跳转
• Laravel配置：.env中APP_URL为HTTPS，AppServiceProvider的boot方法已设置URL::forceScheme('https')，静态资源可正常通过HTTPS加载

问题现象 #

1. 通过以下代码生成邮箱验证的临时签名URL：

$verificationUrl = URL::temporarySignedRoute(
    'verification_route', now()->addMinutes(30), ['id' => $user->id], true
);

2. 生成后立即用Request::create($verificationUrl)检查签名，结果为有效
3. 将该HTTPS URL复制到新标签页访问时，出现403 Invalid Signature错误
4. 日志显示：URL生成时为HTTPS，但请求到达应用时被识别为HTTP版本
5. 尝试给路由设置scheme => 'https'的分组，导致相关路由无法被识别

原因分析 #

核心问题是Laravel没有正确识别客户端的真实HTTPS请求协议：服务器在接收HTTPS请求后，会转发给后端配置的HTTP服务，但未在请求头中传递真实的协议标识（如X-Forwarded-Proto），导致Laravel误判当前请求为HTTP。而签名验证会比对生成URL时的HTTPS协议与当前请求的HTTP协议，二者不一致就会触发签名无效。

解决方案 #

1. 配置服务器传递真实请求协议 #

Nginx配置

在站点配置的location /块中添加请求头，将真实协议传递给Laravel：

location / {
    # 原有配置保留
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-For $remote_addr;
}

Apache配置

启用mod_headers和mod_remoteip模块后，添加以下配置：

Header set X-Forwarded-Proto "https"
RemoteIPHeader X-Forwarded-For

2. 配置Laravel信任代理 #

发布信任代理配置文件（若未发布）：

php artisan vendor:publish --provider="Fideloper\Proxy\TrustedProxyServiceProvider"

在config/trustedproxy.php中添加服务器IP到proxies数组，或直接设置为*（仅在可信环境中使用）：

return [
    'proxies' => [
        '127.0.0.1',
        // 服务器公网IP/负载均衡IP
    ],
    'headers' => Illuminate\Http\Request::HEADER_X_FORWARDED_ALL,
];

也可直接在.env中设置：

TRUSTED_PROXIES=*

3. 临时绕过协议检查（不推荐长期使用） #

将签名URL生成的严格模式参数改为false，让Laravel验证时忽略协议差异：

$verificationUrl = URL::temporarySignedRoute(
    'verification_route', now()->addMinutes(30), ['id' => $user->id], false
);

注意：此方法会降低签名URL的安全性，仅作为临时修复方案。

内容的提问来源于stack exchange，提问作者user3421985