如何实现Laravel编码URL、React端解码且隐藏URL参数？

结论 #

该方式无法实现你要的参数不暴露在地址栏的需求：普通的URL编码/Base64编码只是将明文转换为URL兼容的字符串格式，编码后的内容仍然会完整展示在浏览器地址栏，用户依然可以直接看到、复制参数，仅编码不做额外处理的话没有隐藏效果。

方案1：一次性签名Token（最优，安全性最高） #

这是邮件类验证场景的标准实现方案，Laravel本身也自带相关能力：

• 后端逻辑：不要直接将email等明文参数放在URL中，为每个重置请求生成带过期时间的唯一随机Token，将Token与对应email、过期时间的映射关系存入数据库（Laravel默认自带password_resets表可直接使用），最终发送给用户的链接格式为 http://localhost:3000/reset/[生成的Token]
• 前端路由配置：在reach/router中配置动态路由 path="/reset/:token"，组件中通过useParams()拿到Token后直接传给后端校验接口，后端校验Token有效性后返回对应的email，全程不会在地址栏出现敏感参数
• 额外优化：可以直接使用Laravel的URL::signedRoute()方法生成带校验签名的一次性路由，自带过期、防篡改能力，无需自己实现Token生成逻辑。

方案2：参数加密+路由历史替换（适合不想改动后端存储逻辑的场景） #

如果确实不想新增Token相关的存储逻辑，可以用加密+前端路由替换的方式实现隐藏：

• Laravel端：使用自带的encrypt()方法对email等敏感参数进行加密，加密后的结果本身是URL安全的，最终发送的链接格式为 http://localhost:3000/reset?c=加密后的字符串
• React端：通过reach/router的useLocation()钩子拿到查询参数中的加密串，调用后端解密接口拿到明文email后，立刻调用navigate("/reset", { replace: true })替换当前浏览器历史记录，地址栏会立即变为http://localhost:3000/reset，参数不会保留
• 注意事项：绝对不能将解密密钥放在前端代码中，必须通过后端接口完成解密，否则密钥泄露等于没有加密。

如果仅在Laravel端编码、前端硬编码解码逻辑：

• 解码逻辑完全暴露在前端源码中，稍有技术基础的用户都可以自行还原出明文参数，没有实际的安全意义
• 编码后的参数依然会完整展示在地址栏，只是无法直接看懂，不符合你要的「不暴露」需求。

内容的提问来源于stack exchange，提问作者Afzal Ali