如何移除Laravel签名URL的额外查询参数以通过hasValidSignature校验

问题原因 #

你之前的修改方式不生效的核心原因是：Laravel的hasValidSignature()方法读取的是QUERY_STRING这个完整的服务器环境变量值，该值是请求进入时就生成的完整查询参数字符串。你仅删除拆分后的单个参数键，并没有修改QUERY_STRING本身的内容，因此校验时依然会读取到邮件服务商追加的utm参数。

解决方案 #

方案1：使用Laravel原生方法（推荐，适用于Laravel 9及以上版本） #

Laravel 9开始原生提供了忽略指定参数校验签名的方法hasValidSignatureWhileIgnoring，直接传入需要忽略的utm系参数即可，不需要修改请求对象：

public function show(Request $request)
{
    // 直接忽略所有utm相关参数进行签名校验
    if (! $request->hasValidSignatureWhileIgnoring([
        'utm_source', 
        'utm_medium', 
        'utm_campaign', 
        'utm_term', 
        'utm_content'
    ])) {
        return redirect()->to('https://snuffelbox.nl');
    }

    // 后续业务逻辑
}

方案2：手动重构查询字符串（适用于低版本Laravel） #

如果使用的Laravel版本没有提供上述方法，可以手动重构QUERY_STRING的值，仅保留签名校验必须的expires和signature参数：

public function show(Request $request)
{
    // 提取签名校验必要的参数，如果你本身的签名URL带有其他自定义查询参数，也可以加到数组里
    $validParams = $request->only(['expires', 'signature']);
    // 生成新的查询字符串
    $newQuery = http_build_query($validParams);
    
    // 替换请求中的QUERY_STRING变量
    $request->server->set('QUERY_STRING', $newQuery);
    // 同步更新请求的查询参数集合，避免后续业务读取到冗余参数
    $request->merge($validParams);

    if (! $request->hasValidSignature()) {
        return redirect()->to('https://snuffelbox.nl');
    }

    // 后续业务逻辑
}

内容的提问来源于stack exchange，提问作者Jamie