CakePHP 4中如何用URL令牌配合addUnauthenticatedActions()？

针对你遇到的重置密码链接令牌跟在动作名后、无法匹配未认证动作列表的问题，提供以下几种实用解决方案：

方案一：修改路由，将令牌作为动作参数（推荐） #

这是最符合CakePHP路由规范的做法，把令牌从动作名中剥离，作为独立参数传递：

1. 在config/routes.php中添加路由规则：

$routes->connect(
    '/users/resetpassword/:token',
    ['controller' => 'Users', 'action' => 'resetpassword'],
    ['pass' => ['token']] // 声明token为传递给动作的参数
);

2. 生成重置链接时使用标准格式：
   http://localhost/axletrace/users/resetpassword/7724d1bbd400e0bd624411549a2dd64c6b73481e

3. 在UsersController的resetpassword动作中获取令牌：

public function resetpassword($token)
{
    // 使用$token处理重置逻辑
}

此时动作名始终是resetpassword，完全匹配你之前设置的addUnauthenticatedActions列表，不会触发重定向。

方案二：在beforeFilter中自定义未认证判断逻辑 #

如果不想修改现有链接格式，可以通过控制器的beforeFilter事件，动态判断是否允许未认证访问：

public function beforeFilter(\Cake\Event\EventInterface $event)
{
    parent::beforeFilter($event);
    
    $action = $this->request->getParam('action');
    // 检查动作名是否以resetpassword开头
    if (str_starts_with($action, 'resetpassword')) {
        $this->Authentication->allowUnauthenticated(); // 允许当前动作未认证访问
    } else {
        // 其他无需认证的动作
        $this->Authentication->addUnauthenticatedActions(['login', 'forgotpassword']);
    }
}

注：如果你的PHP版本低于8.0，替换str_starts_with为substr($action, 0, 12) === 'resetpassword'

方案三：路由 fallback 映射带令牌的动作 #

通过路由规则将所有以resetpassword开头的请求，统一映射到resetpassword动作：

1. 在config/routes.php中添加：

$routes->connect('/users/resetpassword*', ['controller' => 'Users', 'action' => 'resetpassword']);

2. 在resetpassword动作中从URL路径提取令牌：

public function resetpassword()
{
    $path = $this->request->getPath();
    $token = trim(str_replace('/users/resetpassword', '', $path), '/');
    // 处理令牌逻辑
}

这种方式无需修改链接格式，但参数提取逻辑相对繁琐，不如方案一直观。

内容的提问来源于stack exchange，提问作者woodbutcher