Laravel 中的身份验证是如何工作的？

Question

Accepted Answer

Laravel 开箱即用地提供了一个完整、安全的**身份验证系统** — 处理登录、注册、密码哈希、会话和路由保护。它为 Web 应用提供现成的入门工具包，为 API 提供基于令牌的身份验证 (Sanctum/Passport)，因此你不需要自己构建这个安全关键的功能。

## 基础知识（会话、哈希、auth 辅助函数）

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel 自动处理**安全密码哈希** (bcrypt/argon2 — 从不使用明文) 和会话管理。`Auth::attempt` 验证凭据并将用户登录。

## 保护路由

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**`auth` 中间件**保护路由（如果未登录则重定向/401）— 这是要求身份验证的标准方法。

## 入门工具包和 API 身份验证

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

对于 API，**Sanctum**（轻量级令牌身份验证）或 **Passport**（完整 OAuth2）颁发和验证令牌 — 使用 `auth:sanctum` 中间件保护 API 路由。

## 为什么这很重要

身份验证是必不可少的且**安全关键** — 几乎每个真实的应用都需要用户账户和登录，身份验证是实现不当时最容易出错、最危险的事情之一（明文密码、弱哈希、会话漏洞导致严重泄露）。

Laravel 的内置身份验证系统是一个主要优势，因为它开箱即用地正确、安全地处理此问题：**安全密码哈希** (bcrypt/argon2，从不使用明文 — 自动处理)、会话管理，以及便捷的 `Auth` 辅助函数和**`auth` 中间件**用于保护路由。

理解如何验证用户、保护路由和访问当前用户是使用账户构建应用的基础。

同样重要的是了解生态系统工具：**入门工具包** (Breeze、Jetstream) 可以立即搭建完整、安全的登录/注册/密码重置功能（因此你无需手动构建容易出错的身份验证屏幕），对于 API，**Sanctum**（为 SPA/移动应用提供简单的令牌身份验证）或 **Passport**（完整 OAuth2）提供安全的基于令牌的身份验证。

由于身份验证既无处不在，又是手动实现时常见的危险安全错误源头，理解 Laravel 强大、安全、开箱即用的身份验证系统 — 基础知识、路由保护、入门工具包和 API 身份验证选项 — 是重要知识，让你能够构建安全的面向用户的应用，无需重新实现（并冒风险）这一关键功能，这是使用像 Laravel 这样成熟框架的关键优势。