Laravel中如何为特定路由添加二次密码确认验证？

嘿，你的思路方向是对的，但直接登出重登确实不是最优解——咱们可以用自定义中间件来实现类似GitHub的sudo模式，既不用强制登出，还能灵活控制会话有效期，步骤也很清晰：

1. 创建自定义中间件 #

首先生成一个专门处理sudo验证的中间件：

php artisan make:middleware SudoMiddleware

打开生成的app/Http/Middleware/SudoMiddleware.php，替换成以下逻辑：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class SudoMiddleware
{
    public function handle(Request $request, Closure $next)
    {
        // 检查会话中是否存在有效的sudo标记
        $sudoExpires = session('sudo_expires');
        if (!$sudoExpires || now()->greaterThan($sudoExpires)) {
            // 保存当前访问的路由，验证后跳转回来
            session(['redirect_after_sudo' => $request->fullUrl()]);
            return redirect()->route('sudo.verify');
        }

        return $next($request);
    }
}

2. 注册中间件 #

打开app/Http/Kernel.php，在$routeMiddleware数组里添加中间件别名：

protected $routeMiddleware = [
    // ...其他中间件
    'sudo' => \App\Http\Middleware\SudoMiddleware::class,
];

3. 添加密码验证的路由和页面 #

在路由文件（比如web.php）里添加验证相关路由：

use Illuminate\Http\Request;

// 显示sudo密码验证表单
Route::get('/verify-sudo', function () {
    return view('auth.sudo-verify');
})->middleware(['auth', 'verified'])->name('sudo.verify');

// 处理密码验证提交
Route::post('/verify-sudo', function (Request $request) {
    $request->validate([
        'password' => 'required|string',
    ]);

    // 验证用户输入的密码是否正确
    if (\Hash::check($request->password, auth()->user()->password)) {
        // 设置sudo标记和过期时间（比如15分钟，可自定义）
        session([
            'sudo' => true,
            'sudo_expires' => now()->addMinutes(15)
        ]);

        // 跳转到之前访问的敏感路由，默认跳转到首页
        return redirect(session('redirect_after_sudo', '/'));
    }

    // 密码错误，返回表单并提示错误
    return back()->withErrors(['password' => '密码验证失败，请重新输入']);
})->middleware(['auth', 'verified'])->name('sudo.verify.submit');

然后创建验证视图resources/views/auth/sudo-verify.blade.php，简单示例：

<form method="POST" action="{{ route('sudo.verify.submit') }}">
    @csrf
    <div>
        <label>请输入当前账户密码以继续：</label>
        <input type="password" name="password" required>
        @error('password')
            <span class="text-red-500">{{ $message }}</span>
        @enderror
    </div>
    <button type="submit">确认</button>
</form>

4. 修改敏感路由 #

把原来的敏感路由改成使用sudo中间件：

Route::get('/secret', 'DiariesController@index')->middleware(['auth', 'verified', 'sudo']);

5. 简化控制器逻辑 #

现在你的DiariesController@index里不需要再处理session检查了，直接返回视图即可：

public function index() {
    return view('secret.diaries');
}

为什么这个方案更好？ #

• 不需要强制登出，保留用户当前会话的其他状态
• 自动处理会话过期：15分钟后（可自定义）用户需要重新验证密码
• 支持跳转回原来的敏感路由，体验更流畅
• 可以灵活调整过期时间，甚至做成配置项（比如在.env里加SUDO_EXPIRE_MINUTES=15）

内容的提问来源于stack exchange，提问作者Salim Djerbouh