Laravel 8（Sanctum）场景下如何实现无需登录即可验证邮箱地址

你移除auth:sanctum中间件后出现Call to a member function getKey() on null报错，是因为默认使用的Illuminate\Foundation\Auth\EmailVerificationRequest表单请求类的授权逻辑依赖当前已登录的用户，无登录态时$request->user()返回null，调用方法就会抛出异常。

1. 修改路由配置 #

移除auth中间件，替换为signed签名中间件，依靠Laravel自带的签名机制校验链接合法性，无需登录也能保证验证链接安全：

Route::get('verify-email/{id}/{hash}', [EmailVerificationController::class, 'verify'])
    ->name('verification.verify')
    ->middleware('signed');

2. 重写控制器验证逻辑 #

不再使用默认的EmailVerificationRequest，手动实现用户查询、hash校验、验证逻辑，同时兼容有/无登录态的场景：

use Illuminate\Http\Request;
use App\Models\User;
use Illuminate\Auth\Events\Verified;

public function verify(Request $request, $id, $hash)
{
    // 校验链接签名是否有效
    if (! $request->hasValidSignature()) {
        abort(403, '无效的验证链接');
    }

    // 查询对应待验证的用户
    $user = User::findOrFail($id);

    // 校验hash和用户邮箱是否匹配
    if (! hash_equals((string) $hash, sha1($user->getEmailForVerification()))) {
        abort(403, '验证链接不合法');
    }

    // 邮箱已验证直接返回
    if ($user->hasVerifiedEmail()) {
        return [
            'message' => '邮箱已完成验证'
        ];
    }

    // 标记邮箱为已验证，触发系统验证事件
    if ($user->markEmailAsVerified()) {
        event(new Verified($user));
    }

    // 原设备已有登录态，返回自动登录标识
    if ($request->user() && $request->user()->getKey() == $user->getKey()) {
        return [
            'message' => '邮箱验证成功，已自动登录',
            'auto_login' => true
        ];
    }

    // 跨设备无登录态，返回提示引导用户登录
    return [
        'message' => '邮箱验证成功，请登录账号',
        'auto_login' => false
    ];
}

• 验证链接依靠Laravel签名机制保证安全，无法被篡改伪造
• 跨设备点击链接无需登录即可完成邮箱验证
• 注册时的原设备保留原有登录态，验证完成后无需二次登录

内容的提问来源于stack exchange，提问作者Domen