在Laravel框架中，Passport是官方提供的一款强大的API授权工具。它提供了完整的OAuth2服务器，使得为应用程序添加API授权变得简单。本篇文章将详细探讨如何在Laravel项目中使用Passport来创建一次性（one-time）令牌，以及这种机制在实际开发中的应用场景。
一、Laravel Passport简介
Laravel Passport提供了以下核心功能：
1. 用户认证：通过个人访问令牌（Personal Access Tokens）对用户进行认证。
2. 授权码流程：允许第三方应用获取访问令牌以代表用户操作。
3. 客户端管理：管理与你的API交互的应用程序。
4. 令牌管理：生成、撤销、更新访问令牌和刷新令牌。
二、安装Laravel Passport
你需要在你的Laravel项目中安装Passport。在终端中运行以下命令：
```bash
composer require laravel/passport
```
接着，运行迁移和迁移填充命令以创建必要的表：
```bash
php artisan migrate
php artisan passport:install
```
三、配置Passport
在`config/auth.php`中，将默认的认证门面设置为`'guards' => ['api' => [ ... ]]`，并确保`providers`指向你的用户模型。
四、创建一次性令牌
Laravel Passport支持生成一次性令牌，这在某些场景下非常有用，例如只允许用户执行一次特定操作。以下是如何创建和使用一次性令牌：
1. 在控制器中，使用`Passport::token()`方法创建一次性令牌：
```php
use Laravel\Passport\Token;
$token = Token::create([
'expires_at' => Carbon::now()->addMinutes(5), // 设置过期时间，如5分钟后
]);
```
2. 将生成的令牌返回给客户端，或者保存在数据库中供后续使用。
3. 当客户端持有这个一次性令牌时，可以通过HTTP请求头`Authorization: Bearer <your_token>`发送到API接口进行验证。
4. 验证一次性令牌，可以在控制器中使用`auth()->guard('api')->onceUsingId($tokenId)`。如果令牌有效且未过期，用户会被认证。
五、安全性与最佳实践
1. 一次性令牌应具有较短的有效期，以减少潜在的安全风险。
2. 令牌不应被硬编码或明文存储，而应妥善保管。
3. 对于敏感操作，建议在验证令牌后立即删除，以防止重复使用。
六、应用场景
一次性令牌常用于：
1. 一次性密码重置链接，允许用户在限定时间内更改密码。
2. 发送邮件验证，用户点击链接后，验证令牌失效。
3. 特定资源的单次访问权限，如试用服务。
总结，Laravel Passport的one-time-token功能为开发者提供了更灵活的API授权策略。理解并正确运用这些功能，能提升你的Laravel应用的安全性和用户体验。在实际开发中，要结合业务需求，合理选择合适的授权方式，以确保应用的安全性和效率。
Laravel开发-laravel-passport-one-time-token .zip （15个子文件） 
laravel-passport-one-time-token-master 
.gitignore 21B
