Laravel 9.x如何创建仅含签名参数的Signed URL？

Laravel原生的signedRoute方法会将传入的参数作为GET参数附加到URL中，要避免敏感数据（如邮箱）明文暴露，你可以通过服务端存储敏感数据+唯一标识关联的方式实现，具体步骤如下：

1. 生成带唯一标识的签名URL #

先生成一个唯一的非敏感标识，将敏感数据存储到缓存或数据库，再用这个标识生成签名URL：

use Illuminate\Support\Str;
use Illuminate\Support\Facades\Cache;
use Illuminate\Support\Facades\URL;

// 生成32位随机字符串作为唯一标识
$dataKey = Str::random(32);

// 将敏感数据存入缓存，设置与URL有效期一致的过期时间（示例为1小时）
Cache::put(
    "signed_payload_{$dataKey}",
    ['email' => 'test@test.com'],
    3600
);

// 生成带唯一标识的签名URL
$signedUrl = URL::signedRoute('testpage', ['key' => $dataKey]);

生成的URL格式为：http://localhost:8000/testpage?key=xxxxxx&signature=xxxxxx，仅包含无意义的唯一标识和签名，不会暴露敏感数据。

2. 在路由处理中验证签名并获取数据 #

在对应的控制器方法里，先验证签名有效性，再通过唯一标识从服务端取出敏感数据：

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Cache;

public function handleTestpage(Request $request)
{
    // 验证签名有效性，无效则返回403
    abort_if(!$request->hasValidSignature(), 403);

    $dataKey = $request->query('key');
    // 从缓存中取出存储的敏感数据
    $payload = Cache::get("signed_payload_{$dataKey}");

    // 数据不存在或已过期时返回404
    if (!$payload) {
        abort(404, '请求已过期或无效');
    }

    // 使用敏感数据进行业务逻辑处理
    $email = $payload['email'];
    // ...
}

替代方案：使用数据库存储数据 #

如果需要更长的有效期或持久化存储，可以创建一个临时数据表（如signed_payloads），包含id、payload、expires_at字段，存储唯一标识和敏感数据，验证时从数据库查询：

// 存储数据到数据库
$signedPayload = SignedPayload::create([
    'id' => $dataKey,
    'payload' => json_encode(['email' => 'test@test.com']),
    'expires_at' => now()->addHour()
]);

// 控制器中查询
$payload = SignedPayload::where('id', $dataKey)
    ->where('expires_at', '>', now())
    ->first();

if (!$payload) {
    abort(404);
}

$email = json_decode($payload->payload)->email;

注意：无论用缓存还是数据库，都要确保设置合理的过期时间，避免无效数据占用资源。

内容的提问来源于stack exchange，提问作者klediooo