Laravel框架下如何隐藏地址栏URL路径 仅允许站内跳转访问子页面

该需求完全可以在Laravel框架下实现，以下是三种不同适用性的实现方案，可根据业务场景选择：

方案一：Referer校验（最简实现，无需修改现有路由） #

实现原理：正常站内跳转的请求会携带Referer请求头，值为本站域名；直接在地址栏输入URL的请求不会携带Referer，或Referer为非本站域名。
实现步骤：

• 生成自定义中间件：执行命令 php artisan make:middleware CheckInternalReferer
• 编辑中间件逻辑，打开app/Http/Middleware/CheckInternalReferer.php填入以下代码：

<?php
namespace App\Http\Middleware;
use Closure;
use Illuminate\Http\Request;

class CheckInternalReferer
{
    public function handle(Request $request, Closure $next)
    {
        // 排除首页、静态资源、API类请求的校验
        if ($request->is('/') || $request->is('assets/*') || $request->expectsJson()) {
            return $next($request);
        }
        $referer = $request->headers->get('referer');
        $siteDomain = config('app.url');
        // 校验是否为本站跳转
        if (empty($referer) || !str_starts_with($referer, $siteDomain)) {
            // 可选择重定向到首页，或者返回403错误
            return redirect('/');
            // return abort(403, '禁止直接访问该页面');
        }
        return $next($request);
    }
}

• 注册中间件：打开app/Http/Kernel.php，在web中间件组中添加该中间件，即可对所有web路由生效，也可以单独给需要限制的路由分配中间件别名。

注意：该方案存在两个局限：一是部分用户浏览器会禁用Referer发送可能导致正常访问被误拦，二是Referer存在被篡改的可能，适合对安全要求不高的普通场景

方案二：Hash路由模式（隐藏真实路径，地址栏统一显示根域名） #

该方案可以实现你要求的地址栏仅展示www.example.com/#类统一路径的效果，本质是将页面路由逻辑转移到前端处理：

• 调整Laravel路由规则，在routes/web.php末尾添加如下代码，所有未匹配到的路由都返回首页入口：

Route::get('/{any}', function () {
    return view('index');
})->where('any', '.*');

• 前端使用Vue、React等框架的hash路由模式，所有页面跳转逻辑在前端完成，后端仅提供数据接口。此时用户无论访问哪个子页面，地址栏只会展示根域名加hash后缀，直接刷新页面也会返回首页，前端可自行控制非站内触发的hash跳转是否生效。

该方案完全隐藏真实后端路径，安全性更高，适合前后端分离架构的站点。

方案三：签名路由校验（高安全级实现） #

如果涉及用户隐私类页面，对安全要求极高，可以使用Laravel自带的签名路由功能，生成带有效期的一次性访问链接：

• 站内生成跳转链接时，使用signedRoute方法生成带签名的临时URL：

// 生成有效期30分钟的个人主页访问链接
$profileUrl = \Illuminate\Support\Facades\URL::signedRoute('user.profile', ['user_id' => 2], now()->addMinutes(30));

• 在对应路由中添加签名校验中间件：

Route::get('/user/{user_id}/profile', function (Request $request, $user_id) {
    if (! $request->hasValidSignature()) {
        abort(403);
    }
    // 正常页面逻辑
})->name('user.profile');

该方案即使Referer被篡改，没有有效签名也无法访问，安全性最高，适合敏感页面的访问控制。

内容的提问来源于stack exchange，提问作者Jahidul islam