Laravel路由安全防护：从外部系统集成到内部数据访问的最佳实践

// app/Http/Controllers/PortalOffice/PortalOfficeController.php
namespace App\Http\Controllers\PortalOffice;

use App\Http\Controllers\Controller;
use Illuminate\Http\Request;
use App\Models\UsuariosMicrosoft; // 假设这是Office账户模型

class PortalOfficeController extends Controller
{
    public function index($ra, $email)
    {
        // 不安全的来源检查：url()->previous() 容易被伪造
        if (url()->previous() != "https://other.system/") {
            return view('errors.503'); // 返回错误页面
        }

        // 直接使用URL参数查询用户数据，存在越权风险
        $usuario = UsuariosMicrosoft::where('login', '=', $ra)->get();

        return view('portaloffice.pagina', compact('ra', 'email', 'usuario'));
    }
}

// routes/web.php
Route::get('office365/{ra}/{email}', 'PortalOffice\PortalOfficeController@index')->name('portaloffice.usuario');

// app/Models/User.php
namespace App\Models;

use Illuminate\Contracts\Auth\MustVerifyEmail;
use Illuminate\Database\Eloquent\Factories\HasFactory;
use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Notifications\Notifiable;

class User extends Authenticatable
{
    use HasFactory, Notifiable;

    // ... 其他属性和方法 ...

    /**
     * 获取与用户关联的Office 365账户信息。
     * 假设 'usuarios_microsoft' 表中的 'login' 字段对应用户的 'student_id'。
     */
    public function officeAccount()
    {
        // 如果 'usuarios_microsoft' 表的关联键是 'user_id'，则使用 hasOne(UsuariosMicrosoft::class)
        // 如果是其他字段，如 'login' 对应 User 的 'student_id'，则需要指定外键和本地键
        return $this->hasOne(UsuariosMicrosoft::class, 'login', 'student_id');
    }
}

// app/Models/UsuariosMicrosoft.php
namespace App\Models;

use Illuminate\Database\Eloquent\Factories\HasFactory;
use Illuminate\Database\Eloquent\Model;

class UsuariosMicrosoft extends Model
{
    use HasFactory;

    protected $table = 'usuarios_microsoft'; // 假设表名
    protected $primaryKey = 'login'; // 假设 'login' 是主键
    public $incrementing = false; // 如果主键不是自增的
    protected $keyType = 'string'; // 如果主键是字符串类型

    // ... 其他属性和方法 ...
}

// app/Http/Controllers/PortalOffice/PortalOfficeController.php
namespace App\Http\Controllers\PortalOffice;

use App\Http\Controllers\Controller;
use Illuminate\Support\Facades\Auth; // 引入Auth门面
use Illuminate\Http\Request;
use App\Models\UsuariosMicrosoft; // 假设这是Office账户模型

class PortalOfficeController extends Controller
{
    /**
     * 显示当前认证用户的Office 365账户信息。
     */
    public function showOfficeAccount()
    {
        // Auth中间件会确保用户已登录，所以这里可以直接获取当前认证用户
        $user = Auth::user();

        // 通过用户关系获取其专属的Office 365账户信息
        // 这样可以确保用户只能访问自己的数据，而无需依赖URL参数
        $officeAccount = $user->officeAccount;

        if (!$officeAccount) {
            // 如果用户没有关联的Office 365账户，可以引导他们创建
            return view('portaloffice.create_account_page', ['user' => $user]);
        }

        // 将Office账户信息传递给视图
        return view('portaloffice.pagina', compact('officeAccount'));
    }
}

// routes/web.php
Route::get('office365/account', 'PortalOffice\PortalOfficeController@showOfficeAccount')
     ->middleware('auth') // 使用 'auth' 中间件确保用户已登录
     ->name('portaloffice.account');