Laravel 8中如何为封禁用户添加自定义登录验证消息？

别在credentials方法里硬加active=1的条件，不然会把「账号封禁」和「账号密码错误」的提示混在一起。可以通过重写LoginController的sendFailedLoginResponse方法来区分两种场景：

1. 先在resources/lang/zh-CN/auth.php里添加自定义错误文案：

return [
    // 保留原有其他消息
    'banned' => '您的账户已被封禁',
];

2. 在LoginController中重写失败响应方法：

use Illuminate\Validation\ValidationException;
use Illuminate\Support\Facades\Hash;

protected function sendFailedLoginResponse(Request $request)
{
    // 根据登录字段（默认是email）查找对应用户
    $user = \App\Models\User::where($this->username(), $request->{$this->username()})->first();
    
    // 判断：用户存在、密码正确，但账户被封禁
    if ($user && Hash::check($request->password, $user->password) && !$user->active) {
        throw ValidationException::withMessages([
            $this->username() => [trans('auth.banned')],
        ]);
    }

    // 其他情况（账号不存在/密码错误）返回默认提示
    throw ValidationException::withMessages([
        $this->username() => [trans('auth.failed')],
    ]);
}

这样用户输入正确账号密码但被封禁时，会显示专属提示，账号密码错误时还是原来的文案，逻辑清晰不混淆。

在credentials里加条件的弊端是无法区分错误原因，且扩展性差。推荐两种更合理的实现：

方式一：分步拆分登录验证逻辑 #

直接重写LoginController的login方法，把验证拆成三步，逻辑更直观，也方便后续加其他限制（比如账号过期）：

public function login(Request $request)
{
    // 第一步：验证输入格式合法性
    $this->validateLogin($request);

    // 处理登录次数限制逻辑（保留Laravel自带的防暴力破解）
    if (method_exists($this, 'hasTooManyLoginAttempts') &&
        $this->hasTooManyLoginAttempts($request)) {
        $this->fireLockoutEvent($request);
        return $this->sendLockoutResponse($request);
    }

    // 第二步：验证账号密码是否匹配
    $user = \App\Models\User::where($this->username(), $request->{$this->username()})->first();
    if (!$user || !Hash::check($request->password, $user->password)) {
        $this->incrementLoginAttempts($request);
        return $this->sendFailedLoginResponse($request);
    }

    // 第三步：检查账户状态
    if (!$user->active) {
        $this->incrementLoginAttempts($request);
        return $this->sendFailedLoginResponse($request, 'auth.banned');
    }

    // 所有验证通过，执行登录
    $this->guard()->login($user, $request->filled('remember'));
    return $this->sendLoginResponse($request);
}

// 可选：封装带自定义消息的失败响应方法
protected function sendFailedLoginResponse(Request $request, $messageKey = 'auth.failed')
{
    throw ValidationException::withMessages([
        $this->username() => [trans($messageKey)],
    ]);
}

方式二：封装自定义验证规则 #

如果项目后续要加多种登录限制（比如未激活、账号过期），可以把状态验证封装成独立规则，代码更整洁：

1. 创建自定义规则：

php artisan make:rule CheckUserStatus

2. 在app/Rules/CheckUserStatus.php中编写逻辑：

namespace App\Rules;

use App\Models\User;
use Illuminate\Contracts\Validation\Rule;
use Illuminate\Support\Facades\Hash;

class CheckUserStatus implements Rule
{
    protected $password;

    public function __construct($password)
    {
        $this->password = $password;
    }

    public function passes($attribute, $value)
    {
        $user = User::where($attribute, $value)->first();
        if (!$user || !Hash::check($this->password, $user->password)) {
            return true; // 账号密码错误的情况交给默认验证处理
        }
        return $user->active == 1;
    }

    public function message()
    {
        return '您的账户已被封禁';
    }
}

3. 在LoginController的validateLogin方法中引入该规则：

protected function validateLogin(Request $request)
{
    $request->validate([
        $this->username() => ['required', 'string', new \App\Rules\CheckUserStatus($request->password)],
        'password' => ['required', 'string'],
    ]);
}

内容的提问来源于stack exchange，提问作者Razvan Zamfir