Laravel Livewire中密码更新后会话保持策略与实践

<?php

namespace App\Http\Livewire\Auth;

use App\Models\User;
use Carbon\Carbon;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Hash;
use Illuminate\Validation\Rules\Password;
use Livewire\Component;
use Illuminate\Http\Request; // 引入 Request 类

class ChangeUserPassword extends Component
{
    public $oldPassword;
    public $newPassword;
    public $confirmPassword;

    public function render()
    {
        return view('livewire.auth.change-user-password');
    }

    public function changePassword(Request $request) // 注入 Request 实例
    {
        // 1. 验证用户输入
        $this->validate([
            'oldPassword' => 'required',
            'newPassword' => ['required', Password::min(8)
                ->letters()
                ->mixedCase()
                ->numbers()
                ->symbols()
                // ->uncompromised() // 可选：检查密码是否曾被泄露
            ],
            'confirmPassword' => 'required|min:8|same:newPassword'
        ]);

        // 2. 获取当前认证的用户实例
        $user = User::find(auth()->user()->id);

        // 3. 验证旧密码是否正确
        if (Hash::check($this->oldPassword, $user->password)) {
            // 4. 更新用户密码
            $user->update([
                'password' => Hash::make($this->newPassword),
                'updated_at' => Carbon::now()->toDateTimeString()
            ]);

            // 5. 重新认证用户并刷新会话
            // 使用新密码尝试重新认证
            if (Auth::attempt(['email' => $user->email, 'password' => $this->newPassword])) {
                $request->session()->regenerate(); // 刷新会话ID，防止会话固定攻击
                $this->emit('showAlert', ['msg' => '您的密码已成功修改。']);
                // 重定向到预期页面，如果不存在则回到指定的路由
                return redirect()->intended(route('user.changepassword'));
            } else {
                // 理论上这里不应该失败，因为密码刚刚更新成功
                // 但作为安全回退，可以考虑记录日志或重定向到登录页
                Auth::logout(); // 强制登出当前用户
                $request->session()->invalidate(); // 使当前会话失效
                $request->session()->regenerateToken(); // 刷新CSRF令牌
                return redirect('/login')->withErrors(['error' => '密码更新成功，但会话刷新失败，请重新登录。']);
            }
        } else {
            // 6. 旧密码不匹配，发出错误提示
            $this->emit('showAlertError', ['msg' => '旧密码不匹配。']);
        }
    }
}