Laravel：使用带Token的中间件实现临时文件访问的最佳实践

嘿，针对你这个个人项目里的临时视频访问Token场景，我来聊聊Laravel中间件的最佳实践，直接拆解你的三个核心问题：

1. 完全可以通过中间件实现这个功能 #

中间件就是专门干这类请求前置验证的活儿！你可以自定义一个专属中间件，在请求到达控制器之前，完成临时Token的有效性校验、IP/设备匹配检查等逻辑。

给你一个简单的实现思路：

• 先建一个数据库表（比如temp_video_tokens），用来存Token的关键信息：token（随机字符串）、video_id（关联视频ID）、allowed_ip（允许的访问IP）、allowed_device_hash（设备标识哈希）、expires_at（过期时间）。
• 生成Token时，把当前用户的IP、设备标识（比如取User-Agent的MD5值）和过期时间一起存入表中。
• 自定义中间件的核心逻辑示例：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use App\Models\TempVideoToken;
use Symfony\Component\HttpFoundation\Response;

class ValidateTempVideoToken
{
    public function handle(Request $request, Closure $next): Response
    {
        // 假设Token通过URL参数传递
        $token = $request->query('token');
        if (!$token) {
            return response('缺少访问Token', 403);
        }

        // 查询有效Token
        $tempToken = TempVideoToken::where('token', $token)
            ->where('expires_at', '>', now())
            ->first();

        if (!$tempToken) {
            return response('Token无效或已过期', 403);
        }

        // 验证IP匹配
        if ($tempToken->allowed_ip !== $request->ip()) {
            return response('当前IP无访问权限', 403);
        }

        // 验证设备匹配（简化版：用User-Agent哈希）
        $currentDeviceHash = md5($request->userAgent());
        if ($tempToken->allowed_device_hash !== $currentDeviceHash) {
            return response('当前设备无访问权限', 403);
        }

        // 验证通过，把关联视频ID绑定到请求中，方便控制器直接使用
        $request->attributes->set('video_id', $tempToken->video_id);

        return $next($request);
    }
}

• 最后在app/Http/Kernel.php里注册这个中间件，给你的视频访问路由加上该中间件即可。

2. 这个场景完全属于中间件的职责范畴 #

Laravel中间件的核心定位就是在请求进入应用核心业务逻辑（控制器）之前，或响应返回给用户之前，执行过滤、验证、预处理等通用逻辑。你的场景正好是请求阶段的合法性校验，放在中间件里：

• 符合关注点分离原则：控制器只需要处理视频返回的业务逻辑，不用关心Token验证细节
• 逻辑可复用：如果以后有其他需要临时Token的路由，直接挂载中间件就行
• 代码更整洁：避免在多个控制器里重复写验证逻辑

3. 不应该使用guest中间件 #

Laravel自带的guest中间件是用来限制已认证用户访问特定路由（比如登录、注册页面），逻辑是如果用户已登录，就跳转到指定页面。而你的场景：

• 不管用户是否登录，只要持有合法临时Token就能访问视频
• 需要验证的是Token有效性、IP/设备匹配，而非用户是否处于未登录状态

所以guest中间件完全不适用，你需要的是上面提到的自定义专属中间件，专门处理临时Token的验证逻辑。

因为是个人非严肃项目，不用搞太复杂：

• 设备验证可以简化，比如初期只验证Token和过期时间，后期再加上IP限制；或者只验证IP，忽略设备标识
• 用Str::random(32)快速生成随机Token字符串
• 过期时间设短一点（比如1小时），降低被分享后的滥用风险

内容的提问来源于stack exchange，提问作者beta990