laravel 用户认证——迹忆客-ag捕鱼王app官网

简介

注：想要快速上手？需要在新安装的 laravel 应用下通过 composer 安装 laravel/ui 扩展包，然后运行 php artisan ui vue --auth 初始化前端脚手架代码，再运行 npm install && npm run dev 安装前端依赖并编译前端资源，最后运行 php artisan migrate 执行数据库迁移生成用户表，此时，功能完备的用户注册登录功能已经完成，在浏览器中访问 http://your-app.test/register 即可看到用户注册界面。

在 laravel 中实现登录认证非常简单。实际上，几乎所有东西 laravel 都已经为你配置好了。配置文件位于 config/auth.php，其中包含了用于调整认证服务行为的、文档友好的选项配置。

在底层代码中，laravel 的认证组件由 "guards" 和 "providers" 组成，guard 定义了用户在每个请求中如何实现认证，例如，laravel 通过 session guard 来维护 session 存储的状态和 cookie。

provider 定义了如何从持久化存储中获取用户信息，laravel 底层支持通过 eloquent 和数据库查询构建器两种方式来获取用户，如果需要的话，我们还可以定义额外的 provider。

如果看到这些名词觉得不明所以，大可不必太过担心，因为对绝大多数应用而言，只需使用默认认证配置即可，不需要做什么改动。

数据库考量

默认情况下，laravel 在 app 目录下包含了一个 eloquent 模型 app\user，这个模型可以和默认的 eloquent 认证驱动一起使用。如果应用不使用 eloquent，可以使用 database 认证驱动，该驱动使用 laravel 查询构建器与数据库交互。

为 app\user 模型构建数据库表结构的时候，确保 password 字段长度至少有60位。保持默认字符串长度（255）是个不错的选择。

还有，我们需要验证 users 表包含了 remember_token，该字段是个可以为空的字符串类型，字段长度为100，用于在登录时存储应用维护的 "记住我" session 令牌。

快速入门

路由

laravel的laravel/ui软件包提供了一种快速的方法，可以使用一些简单的命令来构架进行身份验证所需的所有路由和视图：

$ composer require laravel/ui:^2.4
$ php artisan ui vue --auth

此命令应用于新应用程序，并将安装布局视图、注册和登录视图，以及所有身份验证端点的路由。生成一个homecontroller还来处理对应用程序面板的登录后请求。

laravel/ui提供了几个预置的认证控制器，位于 app\http\controllers\auth 命名空间下

• registercontroller 用于处理新用户注册；
• logincontroller 用于处理用户登录认证；
• forgotpasswordcontroller 用于处理重置密码邮件链接；
• resetpasswordcontroller 包含重置密码逻辑。

每个控制器都使用 trait 来引入它们需要的方法。对很多应用而言，我们根本不需要修改这些控制器：

注：如果你的应用不需要注册，可以通过移除新创建的 registercontroller 控制器并编辑路由定义来禁止注册：auth::routes(['register' => false]);。

创建包含认证代码的应用

如果我们在初始化全新应用的时候就想包含所有认证脚手架代码，可以在创建新应用的时候使用 --auth 指令，这样一来，我们就不需要做上面这些认证初始化工作了：

$ laravel new blog --auth

视图

正如上面所提到的，laravel/ui 包提供的 php artisan ui vue --auth 命令会在 resources/views/auth 目录下创建所有认证需要的视图。

ui 命令还创建了 resources/views/layouts 目录，该目录下包含了应用的基础布局文件。所有这些视图都使用了 bootstrap css 框架，我们也可以根据需要对其进行自定义。

认证

现在我们已经为自带的认证控制器设置好了路由和视图，接下来我们来实现新用户注册和登录认证。可以在浏览器中访问定义好的路由，认证控制器默认已经包含了注册及登录逻辑（通过trait）。

自定义路径

我们已经知道，当一个用户成功进行登录认证后，默认将会跳转到 /home，可以通过在 routeserviceprovider 中使用 home 常量来自定义认证后的重定向路径：

public const home = '/home';

如果需要完全自定义用户认证后返回的响应，可以通过实现 laravel 提供的空方法 authenticated(request $request, $user) 来完成：

/**
 * the user has been authenticated.
 * @param  \illuminate\http\request  $request
 * @param  mixed  $user
 * @return mixed
 */
protected function authenticated(request $request, $user)
{
    return response([
        //
    ]);
}

自定义用户名

默认情况下，laravel 使用 email 字段进行认证，如果你想要自定义认证字段，可以在 logincontroller 中定义 username 方法：

public function username()
{
    return 'username';
}

自定义 guard

我们还可以自定义用于实现用户注册登录的“guard”，要实现这一功能，需要在 logincontroller、registercontroller 和 resetpasswordcontroller 中定义 guard 方法，该方法将会返回一个 guard 实例：

use illuminate\support\facades\auth;
protected function guard()
{
    return auth::guard('guard-name');
}

需要注意的是，guard名称需要在配置文件 config/auth.php 中配置过：

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
    'api' => [
        'driver' => 'token',
        'provider' => 'users',
        'hash' => false,
    ],
],

自定义验证/存储

要修改新用户注册所必需的表单字段，或者自定义新用户字段如何存储到数据库，你可以修改 registercontroller 类。该类负责为应用验证输入参数和创建新用户。

registercontroller 的 validator 方法包含了新用户注册的验证规则，可以按需要自定义该方法。

registercontroller 的 create 方法负责使用 eloquent orm 在数据库中创建新的 app\user 记录。当然，也可以基于自己的需要自定义该方法。

获取登录用户

我们可以通过 auth facade 访问认证用户：

use illuminate\support\facades\auth;
// get the currently authenticated user...
$user = auth::user();
// get the currently authenticated user's id...
$id = auth::id();

此外，用户通过认证后，还可以通过 illuminate\http\request 实例访问认证用户（类型提示类会通过依赖注入自动注入到控制器方法中)：

user() 返回认证用户实例...
    }
}

判断当前用户是否通过认证

要判断某个用户是否登录到应用，可以使用 auth facade 的 check 方法，如果用户通过认证则返回 true：

use illuminate\support\facades\auth;
if (auth::check()) {
    // the user is logged in...
}

注：尽管我们可以使用 check 方法判断用户是否通过认证，但是我们通常的做法是在用户访问特定路由/控制器之前使用中间件来验证用户是否通过认证，想要了解更多，可以查看下面的路由保护。

路由保护

路由中间件可用于只允许通过认证的用户访问给定路由。laravel 通过定义在 illuminate\auth\middleware\authenticate 中的 auth 中间件来实现这一功能。由于该中间件已经在 http kernel 中注册，你所要做的仅仅是将该中间件加到相应的路由定义中：

route::get('profile', function() {
    // only authenticated users may enter...
})->middleware('auth');

当然，如果也可以在控制器的构造方法中调用 middleware 方法而不是在路由器中直接定义实现同样的功能：

public function __construct(){
    $this->middleware('auth');
}

重定向未认证用户

当 auth 中间件判定某个用户未认证，会返回一个 json 401 响应，或者，如果不是 ajax 请求的话，将用户重定向到 login 命名路由（也就是登录页面）。

你可以通过更新 app/http/middleware/authenticate.php 文件中的 redirectto 函数来改变这一行为：

/**
 * get the path the user should be redirected to.
 * @param  \illuminate\http\request  $request
 * @return string
 */
protected function redirectto($request)
{
    return route('login');
}

指定一个 guard

添加 auth 中间件到路由后，还可以指定使用哪个 guard 来实现认证， 指定的 guard 对应配置文件 config/auth.php 中 guards 数组的某个键 ：

public function __construct()
{
    $this->middleware('auth:api');
}

如果没有指定的话，默认 guard 是 web，这也是配置文件中配置的：

'defaults' => [
    'guard' => 'web',
    'passwords' => 'users',
],

密码确认

有时候，我们可能想要要求用户在使用应用特定功能之前先确认密码。例如，在用户修改账单设置或者其他敏感信息时通常需要这么做。

为了实现这个功能，laravel 提供了 password.confirm 中间件，添加这个中间件到某个路由后，当用户访问该路由时，会先将用户重定向到确认密码页面，只有输入了正确的密码才能继续：

route::get('/settings/security', function () {
    // users must confirm their password before continuing...
})->middleware(['auth', 'password.confirm']);

用户确认密码成功后，会被重定向到之前要访问的路由 /settings/security。默认情况下，确认密码之后，用户三小时内访问应用 password.confirm 中间件的路由都不需要再次确认密码。可以通过配置项 auth.password_timeout 自定义这个时长：

登录失败次数限制

如果你使用了 laravel 自带的 logincontroller 类， 就已经启用了内置的 illuminate\foundation\auth\throttleslogins trait 来限制用户登录失败次数。默认情况下，用户在几次登录失败后将在一分钟内不能登录，这种限制基于用户的用户名/邮箱地址 ip地址作为唯一键。

手动认证用户

当然，我们也可以不使用 laravel 自带的认证控制器。如果你选择移除这些控制器，需要直接使用 laravel 认证类来管理用户认证。别担心，这很简单！

我们可以通过 auth facade来访问认证服务，因此我们需要确保在类的顶部导入了 auth facade，接下来，让我们看看如何通过 attempt 方法实现登录认证：

only('email', 'password');
        if (auth::attempt($credentials)) {
            // authentication passed...
            return redirect()->intended('dashboard');
        }
    }
}

attempt 方法接收键/值对作为第一个参数，数组中的值被用于从数据表中查找对应用户。在上面的例子中，将会通过 email 的值作为查询条件去数据库获取对应用户，如果用户被找到，经哈希运算后存储在数据库中的密码将会和传递过来的经哈希运算处理的密码值进行比较。如果两个经哈希运算的密码相匹配，那么将会为这个用户设置一个认证 session，标识该用户登录成功。

如果认证成功的话 attempt 方法将会返回 true。否则，返回 false。

重定向器上的 intended 方法将用户重定向到登录之前用户想要访问的 url，在目标 url 无效的情况下回退 uri 将会传递给该方法。

指定额外条件

如果需要的话，除了用户邮件和密码之外还可以在认证查询时添加额外的条件，例如，我们可以验证被标记为有效的用户：

if (auth::attempt(['email' => $email, 'password' => $password, 'active' => 1])) {
    // the user is active, not suspended, and exists.
}

注：在这些例子中，并不仅仅限于使用 email 进行登录认证，这里只是作为演示示例，你可以将其修改为数据库中任何其他可用作「username」的字段。

访问指定 guard 实例

我们可以使用 auth facade的 guard 方法指定想要使用的 guard 实例，这种机制允许你在同一个应用中对不同的认证模型或用户表实现完全独立的用户认证。

传递给 guard 方法的 guard 名称对应配置文件 auth.php 中 guards 配置的 admin 键：

if (auth::guard('admin')->attempt($credentials)) {
    //
}

退出

要退出应用，可以使用 auth facade的 logout 方法，这将会清除用户 session 中的认证信息：

auth::logout();

记住用户

如果想要在应用中提供“记住我”的功能，可以传递一个值为 true 的布尔值作为第二个参数到 attempt 方法（不传的话默认是 false），这样用户登录认证状态就会一直保持直到他们手动退出。当然，你的 users 表必须包含 remember_token 字段，该字段用于存储「记住我」令牌。

if (auth::attempt(['email' => $email, 'password' => $password], $remember)) {
    // the user is being remembered...
}

注：如果你在使用自带的 logincontroller 控制器，相应的记住用户逻辑已经通过控制器使用的 trait 实现了。

如果我们在使用"记住"用户功能，可以使用 viaremember 方法来判断用户是否通过“记住我”cookie进行认证：

if (auth::viaremember()) {
    //
}

其它认证方法

认证一个用户实例

如果我们需要将一个已存在的用户实例直接登录到应用，可以调用 auth 门面的 login 方法并传入用户实例，传入实例必须是 illuminate\contracts\auth\authenticatable 接口的实现，当然，laravel 自带的 app\user 模型已经实现了该接口：

auth::login($user);
// login and "remember" the given user...
auth::login($user, true);

当然，可以指定想要使用的 guard 实例：

auth::guard('admin')->login($user);

通过 id 认证用户

要通过用户id登录到应用，可以使用 loginusingid 方法，该方法接收你想要认证用户的主键作为参数：

auth::loginusingid(1);
// login and "remember" the given user...
auth::loginusingid(1, true);

一次性认证用户

我们可以使用 once 方法只在单个请求中将用户登录到应用，而不存储任何 session 和 cookie，这在构建无状态的 api 时很有用：

if (auth::once($credentials)) {
    //
}

基于 http 的基本认证

http 基本认证能够帮助用户快速实现登录认证而不用设置专门的登录页面，首先要在路由中加上 auth.basic 中间件。该中间件是 laravel 自带的，所以不需要自己定义：

route::get('profile', function() {
    // only authenticated users may enter...
})->middleware('auth.basic');

中间件加到路由中后，当在浏览器中访问该路由时，会自动提示需要认证信息，默认情况下，auth.basic 中间件使用用户记录上的 email 字段作为「用户名」。

fastcgi 上的注意点

如果你使用 php fastcgi，http 基本认证将不能正常工作，需要在 .htaccess 文件加入如下内容：

rewritecond %{http:authorization} ^(. )$
rewriterule .* - [e=http_authorization:%{http:authorization}]

无状态的 http 基本认证

你也可以在使用 http 基本认证时不在 session 中设置用户标识 cookie，这在 api 认证中非常有用。要实现这个功能，需要定义一个调用 oncebasic 方法的中间件。如果该方法没有返回任何响应，那么请求会继续走下去：

route::get('api/user', function () {
    // only authenticated users may enter...
})->middleware('auth.basic.once');

use illuminate\support\facades\auth;
auth::logout();

'web' => [
    // ...
    \illuminate\session\middleware\authenticatesession::class,
    // ...
],

use illuminate\support\facades\auth;
auth::logoutotherdevices($password);

registerpolicies();
        auth::extend('jwt', function ($app, $name, array $config) {
            // return an instance of illuminate\contracts\auth\guard...
            return new jwtguard(auth::createuserprovider($config['provider']));
        });
    }
}

'guards' => [
    'api' => [
        'driver' => 'jwt',
        'provider' => 'users',
    ],
],

use app\user;
use illuminate\http\request;
use illuminate\support\facades\auth;
/**
 * register any application authentication / authorization services.
 *
 * @return void
 */
public function boot()
{
    $this->registerpolicies();
    auth::viarequest('custom-token', function ($request) {
        return user::where('token', $request->token)->first();
    });
}

'guards' => [
    'api' => [
        'driver' => 'custom-token',
    ],
],

registerpolicies();
        auth::provider('riak', function ($app, array $config) {
            // return an instance of illuminate\contracts\auth\userprovider...
            return new riakuserprovider($app->make('riak.connection'));
        });
    }
}

'providers' => [
    'users' => [
        'driver' => 'riak',
    ],
],

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
],

/**
 * the event listener mappings for the application.
 *
 * @var array
 */
protected $listen = [
    'illuminate\auth\events\registered' => [
        'app\listeners\logregistereduser',
    ],
    'illuminate\auth\events\attempting' => [
        'app\listeners\logauthenticationattempt',
    ],
    'illuminate\auth\events\authenticated' => [
        'app\listeners\logauthenticated',
    ],
    'illuminate\auth\events\login' => [
        'app\listeners\logsuccessfullogin',
    ],
    'illuminate\auth\events\failed' => [
        'app\listeners\logfailedlogin',
    ],
    'illuminate\auth\events\validated' => [
        'app\listeners\logvalidated',
    ],
    'illuminate\auth\events\verified' => [
        'app\listeners\logverified',
    ],
    'illuminate\auth\events\logout' => [
        'app\listeners\logsuccessfullogout',
    ],
    'illuminate\auth\events\currentdevicelogout' => [
        'app\listeners\logcurrentdevicelogout',
    ],
    'illuminate\auth\events\otherdevicelogout' => [
        'app\listeners\logotherdevicelogout',
    ],
    'illuminate\auth\events\lockout' => [
        'app\listeners\loglockout',
    ],
    'illuminate\auth\events\passwordreset' => [
        'app\listeners\logpasswordreset',
    ],
];