Laravel中Redirect::intended从邮件等外部链接访问时不生效如何解决

Laravel 中 Redirect::intended('/') 的跳转逻辑依赖 session 存储：当未登录用户访问受Auth中间件保护的路由时，中间件会自动将用户当前请求的目标地址写入 session['url.intended']，登录成功后读取该值跳转，读取完成后会自动销毁这个session键。
外部链接跳转失效的常见原因如下：

• 浏览器SameSite Cookie限制：Laravel默认将session cookie的SameSite属性设为Lax，如果外部跳转链路存在跨站POST请求、嵌套iframe跳转等场景，请求会无法携带本站的session cookie，导致访问受保护路由时生成全新的session，原session存储的目标地址无法被读取。
• 外部跳转跟踪层篡改路径：邮件服务商、第三方站点的跳转跟踪链接会包裹你的原目标地址，跳转过程中丢失原路径参数，导致Auth中间件捕获到的地址不是用户实际要访问的目标地址。
• 额外重定向逻辑清空session：如果登录页、Auth相关路由存在其他重定向操作，会提前读取并清空url.intended的值，导致后续跳转时取不到目标地址。

方案1：URL参数传递目标地址（兼容性最高，推荐） #

不依赖session，完全规避跨站cookie问题：

1. 修改Auth认证中间件，未登录跳转登录页时将目标地址加密后放到URL参数中

// app/Http/Middleware/Authenticate.php
protected function redirectTo($request)
{
    if (! $request->expectsJson()) {
        return route('login', ['redirect' => base64_encode($request->fullUrl())]);
    }
}

2. 登录成功后优先读取参数中的跳转地址，兜底使用默认intended逻辑

// 登录验证通过后的跳转逻辑
if (request()->has('redirect')) {
    $targetUrl = base64_decode(request()->input('redirect'));
    // 校验跳转地址域名是否为本站点，避免钓鱼风险
    if (str_starts_with($targetUrl, config('app.url'))) {
        return redirect()->to($targetUrl);
    }
}
return Redirect::intended('/');

方案2：调整Session SameSite配置（仅适合HTTPS站点） #

如果业务场景允许放开跨站cookie限制，可以修改config/session.php配置：

'same_site' => 'none',
// 设为none时必须开启secure属性，仅HTTPS环境生效
'secure' => env('SESSION_SECURE_COOKIE', true),

该方案会降低session安全性，仅适合特殊业务场景使用

方案3：处理外部跳转跟踪链路 #

如果是第三方跳转跟踪导致路径丢失，可以将发送给用户的目标地址做签名处理，用户跳转回站点后解析签名路径直接存入session，避免路径被篡改。

内容的提问来源于stack exchange，提问作者Nergi Dos Santi