Laravel 路由签名验证需四层协同：路由必须显式命名且无 auth/throttle 中间件；signed 中间件须置于 web/api 组且在限流前执行；所有 URL 参数（含 expires）参与签名计算；控制器内须二次调用 hasValidSignature() 进行差异化处理。
要验证 Laravel 路由签名参数，核心是确保请求 URL 的 _signature 和 expires 有效、未被篡改且未过期。整个验证链路不是单点动作，而是由路由注册、中间件拦截、框架自动校验、控制器再确认四层协同完成，缺一不可。
路由定义必须干净且命名
签名验证的前提是 Laravel 能准确识别目标路由并提取原始参数。因此：
- 路由必须使用
->name('xxx')显式命名，不能匿名 - 不能附加
auth、throttle或依赖 session 的中间件——这些会在签名验证前中断请求，导致 403 实际来自中间件而非签名失败 - 推荐写法：
Route::get('/download/{file}', [DownloadController::class, 'show'])->name('download.file'); - 避免写法：
->middleware('auth')或->middleware('throttle:api')
中间件在正确位置执行验签
Laravel 内置的 signed 中间件（Illuminate\Routing\Middleware\ValidateSignature）负责第一道防线，但它只在特定条件下生效：
Laravel Cloud
下载
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
- 必须注册在
web或api路由组中，不能放在全局$middleware数组里，否则静态资源、登录页也会被拦 - 应在限流中间件（如
ThrottleRequests）之前执行，避免未验证请求被计入配额 - 对 API 场景，建议单独注册到
api组，并确保不调用$request->user()——认证应晚于签名验证
签名参数自动参与计算与校验
所有传入 URL::temporarySignedRoute() 的参数（包括路由占位符和额外键值）都会被纳入签名原文：
- 例如
temporarySignedRoute('download.file', $when, ['file' => 'a.pdf', 'user' => 123])，生成的签名同时绑定file和user - 若客户端手动修改 URL 中的
user=123为user=456，$request->hasValidSignature()直接返回false -
expires参数也参与哈希计算，篡改该值同样导致验证失败 - 额外追踪参数（如
utm_source）默认不放行，需显式白名单：$request->hasValidSignature(true, ['utm_source'])
控制器内务必二次确认
中间件抛出异常后返回 403，但无法区分“过期”还是“签名无效”，也无法记录日志或跳转定制页面：
- 在控制器方法开头主动调用：
if (!$request->hasValidSignature()) { abort(403); } - 若需差异化处理（如过期跳转提示页、无效签名记审计日志），必须在此处分支判断
- 不要依赖中间件“替你兜底”——它只是快捷通道，不是安全保险栓
