Revel 框架不内置邮箱验证功能，需手动实现 token 生成、邮件发送、链接验证及路由保护；核心步骤包括安全生成绑定用户 ID 的过期 token、存入服务端存储、发送含验证链接的邮件、校验并标记邮箱已验证。
Revel 框架本身不提供开箱即用的邮箱验证（email verification）功能，它只内置了参数校验（如 Required、MinSize 等），但不负责生成验证码、发送邮件、存储 token 或验证链接有效性。你要实现邮箱验证，必须自己补全服务端逻辑，并集成 SMTP 客户端（如 net/smtp 或第三方库）。
为什么 Revel 没有现成的邮箱验证支持
Revel 的定位是轻量、高性能的 Web 框架，验证聚焦在请求参数层面（c.Validation.Required() 这类），而非业务级身份流程。邮箱验证属于应用层逻辑：生成唯一 token、存入 DB/Cache、构造验证 URL、发邮件、处理 /verify?token=xxx 请求并更新用户状态——这些都需要你手动串联。
- 框架不带用户模型、数据库 ORM 或邮件发送封装
-
Verification不是 Revel 的中间件或内置服务，不会自动拦截未验证用户 - 所有 token 生命周期管理（过期、单次使用、绑定用户 ID）需自行实现
实现邮箱验证的 4 个核心步骤
以注册后发送验证邮件为例，你需要在 Controller 中显式调用以下逻辑：
- 用户提交邮箱后，生成一个加密 token（推荐
crypto/rand.Read()+base64.URLEncoding.EncodeToString()），并关联到该用户的id和过期时间（如 24 小时），存入数据库或 Redis - 构造验证链接：
https://yourapp.com/verify?token=abc123，注意 URL 安全编码 - 用
net/smtp或gopkg.in/gomail.v2发送 HTML 邮件，内容含该链接；避免明文暴露 token 在日志中 - 新增
Verifyaction，接收token参数 → 查询并校验 token 是否有效且未使用 → 调用user.MarkEmailAsVerified()（你自定义的方法）→ 删除或失效该 token
常见错误：token 校验逻辑写错
容易忽略的关键点不是“怎么发邮件”，而是“怎么安全地验 token”。典型错误包括：
- 没检查 token 是否已使用（导致链接可重复点击）
- 没验证 token 关联的用户是否存在或是否已被删除
- 用
==直接比较 token 字符串（存在时序攻击风险），应改用subtle.ConstantTimeCompare() - 把 token 存在 session 或客户端 cookie 里（应只存在服务端存储，并与用户 ID 绑定）
- 验证成功后忘记清除 token，或没设置
email_verified_at字段（若你有该字段）
如何保护路由，只让已验证用户访问
Revel 没有类似 Laravel 的 verified 中间件，但你可以写一个自定义拦截器（Interceptor）：
在 app/init.go 中注册：
beego.Interceptor("/dashboard/*", requireEmailVerified)
然后实现 requireEmailVerified：
func requireEmailVerified(c revel.Controller, rm *revel.Result) revel.Result {
user := c.Session.Get("user_id")
if user == nil {
return c.Redirect("/login")
}
u, err := models.FindUserByID(user.(int))
if err != nil || !u.EmailVerified {
return c.Redirect("/verify/notice")
}
return nil
}
注意：这个逻辑依赖你已在 User 模型中添加了 EmailVerified bool 字段，并在验证成功时置为 true。别漏掉数据库迁移和初始化默认值。
最易被忽略的是 token 存储的原子性和清理时机——验证成功后必须立刻删除 token，且整个操作要包裹在事务或原子写入中，否则可能因并发请求导致多次验证成功。
