用戶認證
用戶認證
用戶認證
引言
{tip} 想要快速開始嗎？ 只要在一個新的 Laravel 應(yīng)用程序中運行
php artisan make:auth和php artisan migrate就可以了。 然后，把你的瀏覽器導航到http://your-app.test/register或者其他任意一個分配給你的程序的 URL。這兩個命令將負責構(gòu)建整個認證系統(tǒng)！
Laravel 使得實現(xiàn)身份驗證非常簡單。 事實上，幾乎所有的配置都是現(xiàn)成的。 身份驗證配置文件位于 config/auth.php， 其中包含幾個有良好文檔記錄的選項，用于調(diào)整身份驗證服務(wù)的行為。
在其核心，Laravel 的認證設(shè)施由 “警衛(wèi)” 和 “提供者” 組成。守衛(wèi)決定如何對每個請求的用戶進行身份驗證。比如，Laravel 帶有一個 session 保護，它使用會話存儲和 Cookies 來維護狀態(tài)。
提供者決定如何從持久儲存中檢索用戶。 Laravel 支持使用 Eloquent 和數(shù)據(jù)庫查詢生成器檢索用戶。但是，你可以根據(jù)應(yīng)用程序的需要來自由定義其他提供者。
如果這些聽起來讓你很困惑，別擔心！許多應(yīng)用程序永遠不需要修改默認的身份驗證配置。
數(shù)據(jù)庫注意事項
默認情況下， Laravel 包含一個 App\User Eloquent model 在你的 app 目錄下。 這個模型可與默認的 Eloquent 身份驗證驅(qū)動程序一起使用。如果你的應(yīng)用程序沒有使用 Eloquent，你可以用 database 身份驗證驅(qū)動程序，它用的是 Laravel 查詢生成器。
當為 App\User 模型生成數(shù)據(jù)庫架構(gòu)時，確保密碼的長度至少為 60 個字符。保持默認的字符串長度為 255 個字符是一個不錯的選擇。
另外，你應(yīng)該驗證 “users”（或等效）表是否包含一個可空的，含有 100 個字符的 remember_token 字符串。此列將用于存儲用戶登錄應(yīng)用程序時選擇 “記住我” 選項的令牌。
用戶認證快速指南
Laravel 附帶了幾個預(yù)構(gòu)建的身份驗證控制器，它們位于 App\Http\Controllers\Auth 命名空間中。RegisterController 處理新的用戶注冊，LoginController 處理身份驗證，ForgotPasswordController 處理用于重置密碼的電子郵件鏈接，ResetPasswordController 包含重置密碼的邏輯。這些控制器中的每一個都使用一個特性來包含它們的必要方法。對于許多應(yīng)用程序，您根本不需要修改這些控制器。
路由
Laravel 提供了一種快速的方法，可以使用一個簡單的命令來搭建認證所需的所有路由和視圖：
php artisan make:auth
此命令應(yīng)該用于新應(yīng)用程序，并將安裝布局視圖、注冊和登錄視圖以及所有身份驗證端點的路由。還將生成一個 HomeController 來處理應(yīng)用程序儀表板的登錄后請求。
{tip} 如果應(yīng)用程序不需要注冊，可以通過刪除新創(chuàng)建的
RegisterController并修改路由聲明來禁用它：Auth::routes(['register' => false]);。
視圖
如前一節(jié)所述， php artisan make:auth 命令將創(chuàng)建認證所需的所有視圖，并將它們放在 resources/views/auth 目錄中。
make:auth 命令還將創(chuàng)建一個包含應(yīng)用程序基本布局的 resources/views/layouts 目錄。所有這些視圖都使用了 Bootstrap CSS 框架，但是你可以自由地定制它們。
認證
現(xiàn)在已經(jīng)給認證的控制器設(shè)置好了路由和視圖，你可以在應(yīng)用中注冊和認證新用戶了！因為控制器已經(jīng)默認包含了驗證用戶是否存在和保存用戶到數(shù)據(jù)庫中的認證邏輯（通過 traits 實現(xiàn)的），現(xiàn)在你已經(jīng)可以在瀏覽器中訪問應(yīng)用了。
自定義路徑
當用戶認證成功，他們會被重定向到 /home 這個 URI 下。你可以在 LoginController，RegisterController， ResetPasswordController，還有 VerificationController 控制器中定義 redirectTo 屬性來自定義驗證后的重定向位置：
protected $redirectTo = '/';
接下，你應(yīng)該修改 RedirectIfAuthenticated 中間件中的 handle 方法，以便在重定向用戶時重定向到新的 URI。
如果重定向路徑需要自定義生成邏輯，你可以定義 redirectTo 方法替代 redirectTo 屬性：
protected function redirectTo(){
return '/path';
}{提示} redirectTo 方法優(yōu)先于 redirectTo 屬性。
自定義用戶名
Laravel 默認使用 email 字段來認證。如果你想使用其他的字段，可以在 LoginController 控制器里面定義一個 username 方法：
public function username(){
return 'username';
}自定義看守器
你還可以自定義用戶認證和注冊的 「看守器」。要實現(xiàn)這一功能，需要在 LoginController,RegisterController 和 ResetPasswordController 中定義 guard 方法。該方法會返回一個看守器實例：
use Illuminate\Support\Facades\Auth;protected function guard(){
return Auth::guard('guard-name');
}自定義驗證 / 存儲
為了修改新用戶在注冊時所需要填寫的表單字段，或者自定義如何將新用戶存儲到數(shù)據(jù)庫中，你可以修改 RegisterController 類。該類負責驗證和創(chuàng)建新用戶。
RegisterController 類的 validator 方法包含了驗證新用戶的規(guī)則，你可以隨心所欲地自定義該方法。
RegisterController 的 create 方法負責使用 Eloquent ORM 在數(shù)據(jù)庫中創(chuàng)建新的 App\User 記錄。你可以根據(jù)數(shù)據(jù)庫的需要自定義該方法。
檢索認證用戶
你可以通過 Auth facade 來訪問已認證的用戶：
use Illuminate\Support\Facades\Auth; // 獲取當前通過認證的用戶... $user = Auth::user(); // 獲取當前通過認證的用戶 ID... $id = Auth::id();
或者，你可以通過 Illuminate\Http\Request 實例來訪問已認證的用戶。別忘了，類型提示的類會被自動注入到你的控制器方法中：
<?php
namespace App\Http\Controllers;
use Illuminate\Http\Request;
class ProfileController extends Controller{
/**
* 更新用戶資料。
*
* @param Request $request
* @return Response
*/
public function update(Request $request)
{
// $request->user() 返回一個認證用戶實例...
}
}確定當前用戶是否已經(jīng)認證
你可以使用 Auth facade 的 check 方法來檢查用戶是否已認證。如果已認證，將會返回 true：
use Illuminate\Support\Facades\Auth;
if (Auth::check()) {
// 用戶已經(jīng)登錄了...
}{提示} 雖然可以使用
check方法確認用戶是否被認證，但是在允許用戶訪問的某些路由 / 控制器之前，通常還是會使用中間件來驗證用戶是否進行過身份驗證。想要了解更多信息，請查看有關(guān) 保護路由 的文檔。
保護路由
路由中間件 可以用于只允許通過認證的用戶訪問給定的路由。Laravel 自帶了一個 auth 中間件，它定義在 Illuminate\Auth\Middleware\Authenticate 中。由于這個中間件已經(jīng)在 HTTP 內(nèi)核中注冊，你只需把這個中間件附加到路由定義中：
Route::get('profile', function () {
// 只有認證過的用戶可以進入...
})->middleware('auth');當然，如果你使用 控制器，你可以在控制器的構(gòu)造函數(shù)中調(diào)用 middleware 方法來直接將其附加到路由定義中：
public function __construct(){
$this->middleware('auth');
}重定向未認證的用戶
當 auth 中間件檢測到一個未認證用戶時，它會把用戶重定向到名為 login 的 命名路由上。
您可以通過修改 app/Http/Middleware/Authenticate.php 文件中的 redirectTo 函數(shù)來修改此行為：
/**
* Get the path the user should be redirected to.
*
* @param \Illuminate\Http\Request $request
* @return string
*/
protected function redirectTo($request){
return route('login');
}指定看守器
當你把 auth 中間件添加到路由中時，同時也能指定使用哪個看守器進行用戶認證。指定的看守器應(yīng)該對應(yīng) auth.php 配置文件中 guards 數(shù)組中的的一個鍵：
public function __construct(){
$this->middleware('auth:api');
}登錄限流
如果你使用 Laravel 內(nèi)置的 LoginController 類，Illuminate\Foundation\Auth\ThrottlesLogins trait 已經(jīng)包含在該控制器中了。默認情況下，如果用戶多次嘗試卻無法提供正確的登錄憑據(jù)，那么該用戶在一分鐘內(nèi)將不能再次嘗試登錄。這種限流策略基于用戶的用戶名 / 郵箱地址及其 IP 地址的唯一性。
手動驗證用戶
不一定非要在 Lavarel 中使用驗證控制器。如果選擇刪除這些控制器，就需要直接使用 Lavarel 驗證類。別擔心，很容易！
可以借助 Auth facade 訪問 Laravel 服務(wù)，因此需要在類的開頭導入 Auth 。下面來看看 attempt 方法：
<?php
namespace App\Http\Controllers;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
class LoginController extends Controller{
/**
* 處理身份驗證嘗試。
*
* @param \Illuminate\Http\Request $request
*
* @return Response
*/
public function authenticate(Request $request)
{
$credentials = $request->only('email', 'password');
if (Auth::attempt($credentials)) {
// 身份驗證通過...
return redirect()->intended('dashboard');
}
}
}attempt 方法的每個參數(shù)是一個關(guān)聯(lián)數(shù)組。數(shù)組值用于在數(shù)據(jù)庫中查找用戶。在上面的例子中，將通過 email 列的值查找用戶。如果找到該用戶，將用存儲在數(shù)據(jù)庫中的哈希密碼與數(shù)組中的 password 值做比較。不需要對 password 做哈希運算，框架在與數(shù)據(jù)庫中的哈希密碼做比較前自動對此值做哈希運算。如果兩個哈希值匹配，將為該用戶建立驗證通過的 session。
如果驗證成功， attempt 方法返回 true ，否則返回 false 。
重定向中的 intended 方法將經(jīng)由身份驗證中間件將用戶重定向到身份驗證前截獲的 URL 。如果預(yù)期目標不存在，可以為此方法指定一個回退 URI 。
指定額外條件
除了用戶的電子郵件和密碼之外，還可以向身份驗證查詢添加其他條件。例如， 我們可以驗證用戶是不是已經(jīng)被標記為 「激活」：
if (Auth::attempt(['email' => $email, 'password' => $password, 'active' => 1])) {
// 用戶存在，已激活且未被禁用。
}{note} 在這些例子中，
訪問指定的看守器實例
可以使用 Auth facade 的 guard 方法指定想要使用的看守器實例。這允許你使用完全獨立的可驗證模型或用戶表來管理應(yīng)用程序各個部分的驗證。
傳遞給 guard 方法的看守器名稱需要與 auth.php 配置中的配置項之一相匹配：
if (Auth::guard('admin')->attempt($credentials)) {
//
}登出
用戶登出需要使用 Auth facade 的 logout 方法。它會清除用戶會話（session）中的用戶驗證信息：
Auth::logout();
記住用戶
如果想在應(yīng)用中提供 「記住我」功能，可以給 attempt 方法傳遞一個布爾值作為其第二個參數(shù)，這會無限期保持用戶身份驗證，直到用戶手動登出。用戶表需要包含字符串類型的 remember_token 列用于存儲令牌。
if (Auth::attempt(['email' => $email, 'password' => $password], $remember)) {
// 用戶被記住...
}{tip} 如果使用了 Laravel 內(nèi)置的
LoginController，「記住」用戶的正確邏輯已經(jīng)由控制器所用的 traits 實現(xiàn)。
如果啟用了「記住用戶」，可以使用 viaRemember 方法判斷是否使用了「記住我」cookie 對用戶做身份驗證：
if (Auth::viaRemember()) {
//
}其它身份驗證方法
驗證用戶實例
如果要將已經(jīng)存在的用戶登入應(yīng)用，可以調(diào)用 login 方法，并以用戶實例作為其參數(shù) 。該對象必須實現(xiàn) Illuminate\Contracts\Auth\Authenticatable 契約 。Laravel 自帶的 App\User 模型已經(jīng)實現(xiàn)了這個接口：
Auth::login($user); // 登錄并「記住」給定的用戶... Auth::login($user, true);
使用如下方式指定想要的看守器實例：
Auth::guard('admin')->login($user);通過 ID 驗證用戶身份
可以使用 loginUsingId 方法通過 ID 將用戶登錄到應(yīng)用。這個方法接受希望驗證身份用戶的主鍵：
Auth::loginUsingId(1); // 登錄并「記住」給定用戶... Auth::loginUsingId(1, true);
僅驗證一次用戶身份
可以使用 once 方法在單次請求中將用戶登錄到應(yīng)用中。這樣做將不使用 session 或 cookies，這意味著此方法有助于構(gòu)建一個無狀態(tài) API：
if (Auth::once($credentials)) {
//
}HTTP 基礎(chǔ)認證
HTTP 基礎(chǔ)認證 提供了一種快速方法來驗證你應(yīng)用程序中的用戶，而無需設(shè)置專用的「登錄」頁面。 開始之前， 先把 auth.basic 中間件 附加到你的路由中。auth.basic 中間件已包含在 Laravel 框架中，所以你不需要定義它：
Route::get('profile', function () {
// 只有認證過的用戶可以進入...
})->middleware('auth.basic');將中間件附加到路由后，在瀏覽器中訪問此路由時將自動提示您輸入憑據(jù)。默認的，auth.basic 中間件把用戶記錄上的 email 字段 作為「用戶名」。
FastCGI 的注意事項
如果你正使用 PHP FastCGI 模式，HTTP 基礎(chǔ)認證可能無法正常工作。需要把下面幾行添加到你的 .htaccess 文件中：
RewriteCond %{HTTP:Authorization} ^(.+)$
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]無狀態(tài) HTTP 基礎(chǔ)認證
你也可以使用 HTTP 基礎(chǔ)身份驗證，而無需在會話中設(shè)置用戶標識符 cookie，這對 API 的身份驗證特別有用。為此 ，請定義一個中間件 它將調(diào)用 onceBasic 方法。如果 onceBasic 方法沒有返回任何響應(yīng)，那么請求就可以進一步傳遞到應(yīng)用程序中：
<?php
namespace App\Http\Middleware;
use Illuminate\Support\Facades\Auth;
class AuthenticateOnceWithBasicAuth{
/**
* 處理傳入的請求
*
* @param \Illuminate\Http\Request $request
* @param \Closure $next
* @return mixed
*/
public function handle($request, $next)
{
return Auth::onceBasic() ?: $next($request);
}
}接著， 注冊路由中間件 并將它附加到路由：
Route::get('api/user', function () {
// 只有認證過的用戶可以進入...
})->middleware('auth.basic.once');退出
要手動把用戶從應(yīng)用中退出登錄，你可以使用 Auth facade 上的 logout 方法。這將清除用戶會話中的身份認證信息：
use Illuminate\Support\Facades\Auth;Auth::logout();
讓其它設(shè)備上的 Session 失效
Laravel 還提供了一種機制，用于將其它設(shè)備上的用戶 Session 失效和「注銷」，而不會使其當前設(shè)備上的 Session 失效。首先，你需要保證 Illuminate\Session\Middleware\AuthenticateSession 中間件在你的 app/Http/Kernel.php 類中的 web 中間件組中，并且沒有被注釋掉：
'web' => [ // ... \Illuminate\Session\Middleware\AuthenticateSession::class, // ... ],
然后， 你就可以使用 Auth facade 上的 logoutOtherDevices 方法。此方法要求用戶提供其當前密碼，你的應(yīng)用程序應(yīng)通過輸入表單接受該密碼：
use Illuminate\Support\Facades\Auth; Auth::logoutOtherDevices($password);
{note} 當調(diào)用
logoutOtherDevices方法后，用戶的其它 Session 將完全失效，這意味著他們將「退出」他們之前通過身份認證的所有看守器。
添加自定義的看守器
你可以使用 Auth facade 的 extend 方法來定義自己的身份驗證看守器。你應(yīng)該在 服務(wù)提供器 中調(diào)用 extend 方法。由于 Laravel 已經(jīng)附帶了 AuthServiceProvider，我們可以將代碼放在該提供器中：
<?php
namespace App\Providers;
use App\Services\Auth\JwtGuard;
use Illuminate\Support\Facades\Auth;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;
class AuthServiceProvider extends ServiceProvider{
/**
* 注冊任意應(yīng)用認證／授權(quán)服務(wù)。
*
* @return void
*/
public function boot()
{
$this->registerPolicies();
Auth::extend('jwt', function ($app, $name, array $config) {
// 返回一個 Illuminate\Contracts\Auth\Guard 實例...
return new JwtGuard(Auth::createUserProvider($config['provider']));
});
}}正如你在上面的示例中所看到的，傳遞給 extend 方法的回調(diào)應(yīng)該返回一個實現(xiàn) Illuminate\Contracts\Auth\Guard 接口的實例。這個接口包含了一些你需要在自定義的看守器中實現(xiàn)的方法。當你的自定義看守器定義完成之后，你可以在 auth.php 配置文件的 guards 配置中使用這個看守器：
'guards' => [ 'api' => [ 'driver' => 'jwt', 'provider' => 'users', ], ],
請求閉包看守器
實現(xiàn)基于 HTTP 請求的自定義身份驗證系統(tǒng)的最簡單方法，是使用 Auth::viaRequest 方法。此方法允許您使用單個閉包來快速定義身份驗證過程。
首先，在 AuthServiceProvider 的 boot 方法中調(diào)用 Auth::viaRequest 方法。viaRequest 方法接受一個看守器名稱作為其第一個參數(shù)。此名稱可以是描述你自定義看守器的任何字符串。傳遞給該方法的第二個參數(shù)應(yīng)該是一個閉包函數(shù)，它接收傳入的 HTTP 請求并返回一個用戶實例，或者，如果驗證失敗，則為 null：
use App\User;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
/**
* 注冊任意應(yīng)用認證／授權(quán)服務(wù)。
*
* @return void
*/
public function boot(){
$this->registerPolicies();
Auth::viaRequest('custom-token', function ($request) {
return User::where('token', $request->token)->first();
});
}當你完成了自定義看守器后，就可以在 auth.php 配置文件的 guards 配置中使用這個看守器：
'guards' => [ 'api' => [ 'driver' => 'custom-token', ], ],
添加自定義用戶提供器
如果不使用傳統(tǒng)的關(guān)系數(shù)據(jù)庫存儲用戶，就需要使用自己的身份驗證用戶提供器擴展 Lavarel?？梢允褂?Auth facade 的 provider 方法自定義用戶提供器：
<?php
namespace App\Providers;
use Illuminate\Support\Facades\Auth;
use App\Extensions\RiakUserProvider;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;
class AuthServiceProvider extends ServiceProvider{
/**
* 注冊任意應(yīng)用身份驗證 / 授權(quán)服務(wù)Register any application authentication / authorization services.
*
* @return void
*/
public function boot()
{
$this->registerPolicies();
Auth::provider('riak', function ($app, array $config) {
// 返回 Illuminate\Contracts\Auth\UserProvider 實例...
return new RiakUserProvider($app->make('riak.connection'));
});
}}一旦使用 provider 方法注冊完畢，就可以在 auth.php 配置文件中切換到新的用戶提供器。先定義一個使用新驅(qū)動的 provider ：
'providers' => [ 'users' => [ 'driver' => 'riak', ], ],
隨后就可以在 guards 配置中使用這個提供器：
'guards' => [ 'web' => [ 'driver' => 'session', 'provider' => 'users', ], ],
用戶提供器契約
Illuminate\Contracts\Auth\UserProvider 實現(xiàn)僅負責從 MySQL、Riak 等持久化存儲系統(tǒng)中提取 Illuminate\Contracts\Auth\Authenticatable 實現(xiàn)。無論用戶如何存儲及用于表示它的類是什么類型，這兩個接口都允許 Laravel 身份驗證機制繼續(xù)運行：
我們來看看 Illuminate\Contracts\Auth\UserProvider 契約：
<?php
namespace Illuminate\Contracts\Auth;
interface UserProvider {
public function retrieveById($identifier);
public function retrieveByToken($identifier, $token);
public function updateRememberToken(Authenticatable $user, $token);
public function retrieveByCredentials(array $credentials);
public function validateCredentials(Authenticatable $user, array $credentials);
}retrieveById 函數(shù)通常接受用于表示類的 key（如 MySQL 數(shù)據(jù)庫中自動遞增的 ID）作為參數(shù)，并獲取和返回與這個 ID 匹配的 Authenticatable 實現(xiàn)。
retrieveByToken 函數(shù)通過用戶的唯一 $identifier 和存儲在 remember_token 列的 「記住我」 令牌獲取用戶。與前一方法相同，它返回 Authenticatable 實現(xiàn)。
updateRememberToken 方法用新 $token 更新 $user 的 remember_token 列。在「記住我」登錄校驗成功或者用戶登出時分配「刷新令牌」。
在嘗試登錄到應(yīng)用時，retrieveByCredentials 方法接受憑證數(shù)組傳遞給 Auth::attempt 方法。此方法在底層持久化存儲中「查詢」與這些憑證匹配的用戶。通常，此方法運行一個基于 $credentials['username'] 的 「where」 條件，它應(yīng)該返回一個 Authenticatable 實現(xiàn)。此方法不就嘗試進行任何密碼校驗或身份驗證。
validateCredentials 方法應(yīng)該比較給定的 $user 與 $credentials 來驗證用戶身份。例如，此方法或許應(yīng)該使用 Hash::check 來比較 $user->getAuthPassword() 的值與 $credentials['password'] 的值。它應(yīng)該返回 true 或 false ，以表明用戶密碼是否有效。
身份驗證契約
我們已經(jīng)剖析了 UserProvider 的每個方法。下面再來看看 Authenticatable 契約。切記，用戶提供器的 retrieveById、 retrieveByToken 和 retrieveByCredentials 方法將返回此接口的實例：
<?php
namespace Illuminate\Contracts\Auth;
interface Authenticatable {
public function getAuthIdentifierName();
public function getAuthIdentifier();
public function getAuthPassword();
public function getRememberToken();
public function setRememberToken($value);
public function getRememberTokenName();
}這個接口很簡單。 getAuthIdentifierName 方法應(yīng)該返回用戶 「主鍵」 列的名字， getAuthIdentifier 方法則返回用戶 「主鍵」。在 MySQL 后臺，它會是自增主鍵。 getAuthPassword 方法應(yīng)該返回用戶的哈希密碼。此接口允許身份驗證系統(tǒng)與任一 User 類一直工作，不管使用的是哪種 ORM 或抽象存儲層。默認情況下，Laravel 的 app 目錄會包含一個實現(xiàn)了此接口的 User 類，你可以以這個實現(xiàn)示例作為參考。
事件
在身份驗證處理過程中 Laravel 引發(fā)了多種 事件 。 可以在 EventServiceProvider 中附著這些事件的監(jiān)聽器:
/** * 應(yīng)用的事件監(jiān)聽器映射。 * * @var array */ protected $listen = [ 'Illuminate\Auth\Events\Registered' => [ 'App\Listeners\LogRegisteredUser', ], 'Illuminate\Auth\Events\Attempting' => [ 'App\Listeners\LogAuthenticationAttempt', ], 'Illuminate\Auth\Events\Authenticated' => [ 'App\Listeners\LogAuthenticated', ], 'Illuminate\Auth\Events\Login' => [ 'App\Listeners\LogSuccessfulLogin', ], 'Illuminate\Auth\Events\Failed' => [ 'App\Listeners\LogFailedLogin', ], 'Illuminate\Auth\Events\Logout' => [ 'App\Listeners\LogSuccessfulLogout', ], 'Illuminate\Auth\Events\Lockout' => [ 'App\Listeners\LogLockout', ], 'Illuminate\Auth\Events\PasswordReset' => [ 'App\Listeners\LogPasswordReset', ], ];