Laravel手动生成重置密码令牌报错：“此密码重置令牌无效”

你遇到的问题核心是手动生成令牌的逻辑和Laravel内置的密码重置验证逻辑不匹配，我来一步步拆解原因和解决方案：

问题根源：Laravel的密码重置令牌逻辑 #

Laravel的密码重置系统在生成和验证令牌时，有一套固定的流程，你手动生成的步骤偏离了这个流程：

内置生成流程 #

1. 生成一个40位的原始公开令牌：Str::random(40)
2. 用项目的APP_KEY作为密钥，对原始令牌做hash_hmac('sha256', $rawToken, config('app.key'))处理
3. 把第二步的结果再通过Hash::make()哈希，存入password_resets表的token字段
4. 将原始公开令牌（第一步的40位字符串）作为URL参数发送给用户

内置验证流程 #

当用户点击重置链接时：

1. 系统获取URL中的原始令牌
2. 用APP_KEY对原始令牌重新做hash_hmac处理
3. 用Hash::check()对比第二步的结果和数据库中存储的哈希值
4. 同时检查令牌是否过期

你的操作错误在于：

• 你自定义了hash_hmac的密钥（"my hash string"），而不是使用Laravel的APP_KEY
• 你把hash_hmac后的字符串当作公开令牌放到URL里，但Laravel验证时会对这个字符串再用APP_KEY做一次hash_hmac，导致最终验证的哈希值完全不匹配

正确的手动生成方式 #

方式一：严格遵循Laravel的内置逻辑 #

use Illuminate\Support\Str;
use Illuminate\Support\Facades\Hash;
use Illuminate\Support\Facades\DB;
use Carbon\Carbon;

// 1. 生成原始公开令牌
$rawToken = Str::random(40);

// 2. 用APP_KEY做hash_hmac处理
$hashedToken = hash_hmac('sha256', $rawToken, config('app.key'));

// 3. 生成要存入数据库的哈希值
$dbToken = Hash::make($hashedToken);

// 4. 存入password_resets表（替换成目标邮箱）
DB::table('password_resets')->updateOrInsert(
    ['email' => 'user@example.com'],
    [
        'token' => $dbToken,
        'created_at' => Carbon::now()
    ]
);

// 5. 把$rawToken放到重置URL里
$resetUrl = "http://your-app.com/password/reset?token={$rawToken}&email=user@example.com";

方式二：直接使用Laravel内置的TokenRepository（推荐） #

这种方式完全避免手动出错，直接复用Laravel的官方实现：

use Illuminate\Auth\Passwords\DatabaseTokenRepository;
use Illuminate\Hashing\HashManager;

// 初始化令牌仓库（参数对应config/auth.php里的passwords配置）
$tokenRepository = new DatabaseTokenRepository(
    app('db')->connection(),
    app(HashManager::class),
    config('auth.passwords.users.table'), // 默认是password_resets
    config('app.key'),
    config('auth.passwords.users.expire') // 默认是60分钟
);

// 假设$user是你的用户模型实例（必须实现CanResetPassword接口）
$rawToken = $tokenRepository->create($user);

// $rawToken就是你要放到URL里的有效令牌，数据库记录已自动创建
$resetUrl = "http://your-app.com/password/reset?token={$rawToken}&email={$user->email}";

额外检查点 #

如果按以上方式操作后仍有问题，建议排查：

• 数据库里的created_at字段是否在有效期内（默认60分钟）
• .env文件中的APP_KEY是否正确，未被随意修改
• 重置URL里的email参数和数据库中存储的email完全一致

内容的提问来源于stack exchange，提问作者Rakhi Vijayan