Laravel 5.5中如何通过Password Broker Facade匹配用户与令牌？

嘿，这个坑我之前踩过！你遇到的问题核心在于bcrypt是带随机盐的哈希算法——哪怕是同一个明文令牌，每次调用bcrypt()生成的哈希值都不一样，所以直接把用户输入的令牌哈希后去数据库匹配肯定行不通。下面给你两种靠谱的解决方法：

方法一：用Laravel自带的Password Broker验证（推荐） #

Laravel的Password Broker已经封装好了完整的令牌验证逻辑，直接用官方方法最安全省心：

// 初始化密码重置broker
$broker = app('auth.password.broker');

// 先获取请求对应的用户（通常重置页面会同时提交邮箱和令牌）
$user = \App\User::where('email', $input['email'])->first();

// 调用validateToken方法验证令牌有效性
$tokenIsValid = $broker->validateToken($user, $input['token']);

if ($tokenIsValid) {
    // 令牌有效，继续重置流程
} else {
    // 令牌无效，提示用户
}

validateToken方法内部会自动去password_resets表查找对应用户的记录，然后用Laravel的Hash::check()验证明文令牌和数据库中哈希值的匹配性，完全不用自己写复杂的SQL逻辑。

方法二：手动验证（适合自定义场景） #

如果你需要更灵活的控制，也可以手动用Hash::check()来验证：

// 先根据用户邮箱找到对应的重置记录（必须结合邮箱，避免令牌冲突）
$resetRecord = DB::table('password_resets')->where('email', $input['email'])->first();

// 验证记录存在且令牌匹配
if ($resetRecord && \Illuminate\Support\Facades\Hash::check($input['token'], $resetRecord->token)) {
    // 令牌有效
} else {
    // 令牌无效或记录不存在
}

关键提醒 #

绝对不要用DB::table('password_resets')->where('token', bcrypt($input['token']))这种方式——因为bcrypt的随机盐特性，你生成的哈希值永远和数据库里的不一样。必须用Hash::check()来做单向验证，它会自动提取哈希值里的盐，再和明文令牌重新计算比对。

内容的提问来源于stack exchange，提问作者Norgul