Laravel应用邮箱验证流程中如何实现return URL跳转功能

问题根因 #

两种方案均是因为生成签名时的查询参数和校验时的查询参数不一致导致的签名校验失败：

• 方案1：生成签名后额外拼接return参数，签名生成时未包含该参数，校验时系统会把所有查询参数（除signature外）纳入计算，自然校验不通过
• 方案2：强制传入空的return参数，当无跳转需求时return值为空，生成签名时参数列表包含return=，而请求时如果没有该参数就会出现参数不匹配，导致校验失败

正确实现方案 #

1. 优化签名链接生成逻辑

仅当return参数存在且为合法同站URL时，才将其加入签名生成的参数列表，避免空值参数干扰签名计算：

// 构建基础参数
$params = [
    'id' => $notifiable->getKey(),
    'hash' => sha1($notifiable->getEmailForVerification()),
];

$returnUrl = request()->get('return');
// 仅当return参数不为空且为同站地址时加入参数
if ($returnUrl && substr($returnUrl, 0, strlen(config('app.url'))) === config('app.url')) {
    $params['return'] = rtrim($returnUrl, '/');
}

// 生成签名链接
$url = URL::temporarySignedRoute(
    'verification.verify',
    Carbon::now()->addMinutes(Config::get('auth.verification.expire', 60)),
    $params
);

return $url;

2. 自定义验证通过后的跳转逻辑

打开app/Http/Controllers/Auth/VerificationController.php，重写redirectTo方法，优先跳转return指定的地址，同时二次校验跳转地址避免开放重定向漏洞：

protected function redirectTo()
{
    if (request()->has('return')) {
        $returnUrl = request()->get('return');
        // 二次校验跳转地址为同站地址，避免恶意跳转风险
        if (substr($returnUrl, 0, strlen(config('app.url'))) === config('app.url')) {
            return $returnUrl;
        }
    }
    // 无有效return参数时跳转默认地址
    return route('home');
}

以上方案同时兼容有跳转需求和无跳转需求的场景，不会出现签名校验失败的问题。

内容的提问来源于stack exchange，提问作者Mike