Laravel分享链接可通过签名中间件、角色授权和访问口令三重机制限制访问：用URL::signedRoute()生成带时效与签名的链接，配合signed中间件自动校验；在控制器或策略类中按用户角色动态控制内容可见性；为匿名访客设置口令或验证码验证，并通过session标记解锁访问。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要让 Laravel 应用生成的分享链接只对特定人群（如登录用户、指定角色、有效期内、或带签名的访客）可访问，而不是全网公开可点开就看。
用签名中间件限制分享链接的有效性
第一步：生成带签名的分享 URL，确保链接无法被篡改或无限传播。
在控制器中调用 URL::signedRoute() 生成链接，例如：URL::signedRoute('share.document', ['id' => 123])。该方法自动附加 signature 和 expires 参数，签名基于路由名、参数及应用密钥生成，任何参数变动都会导致验证失败。
第二步：为对应路由添加 signed 中间件。
在 routes/web.php 中注册路由时加上中间件：Route::get('/share/{id}', [ShareController::class, 'show'])->name('share.document')->middleware('signed');。该中间件由 Laravel 内置提供，会自动校验签名与有效期，无需手动实现。
第三步：处理过期或无效签名的响应。
默认情况下，签名失效会返回 403 响应；如需自定义跳转，可在 app/Exceptions/Handler.php 的 render() 方法中捕获 Illuminate\Routing\Exceptions\InvalidSignatureException，并返回重定向或视图。注意：不要在中间件里自行重写签名验证逻辑——【重复实现签名校验极易引入安全漏洞】。
按用户角色动态控制分享页可见内容
方法一：在分享页面控制器中判断当前用户角色
若用户已登录且具备 Editor 角色，显示“编辑按钮”和原始文件下载入口；否则仅渲染只读预览区域。直接使用 Auth::user()?->role === 'Editor' 判断即可，但前提是你的 User 模型有 role 字段且值可信。
方法二：结合策略类做细粒度授权
运行 php artisan make:policy DocumentPolicy --model=Document，在 viewAny() 或 view() 方法中编写逻辑：未登录用户只能查看已标记为 public = true 的文档；Admin 可查看全部；Contributor 仅限自己创建的文档。然后在控制器中调用 $this->authorize('view', $document) 触发检查。
给匿名访客加访问门槛
不强制登录，但要求输入访问口令或通过邮箱验证码才可打开分享页。
在分享路由对应的控制器方法开头，检查 session 中是否存在 share_unlocked_{hash} 标记。若不存在，重定向至 /share/{id}/unlock 页面，该页面提供口令输入框或发送验证码按钮。
用户提交口令后，服务端比对硬编码口令（适用于临时内部分享）或查询数据库中该分享记录绑定的 access_code 字段。匹配成功则写入 session 并重定向回原分享页。
关键点：口令校验必须使用 Hash::check() 而非 ===，防止时序攻击；且 access_code 字段在数据库中必须是 bcrypt 加密存储，【明文存口令等于直接暴露访问权限】。
