Laravel 签名 URL 的过期时间（expires）本身不加密，但其完整性由全局签名（signature）严格保障；任何对 expires 或其他参数的篡改都会导致签名验证失败，URL 被拒绝访问。
laravel 签名 url 的过期时间（`expires`）本身不加密，但其完整性由全局签名（`signature`）严格保障；任何对 `expires` 或其他参数的篡改都会导致签名验证失败，url 被拒绝访问。
Laravel 的签名 URL 采用「消息认证码（HMAC-SHA256）」机制，将整个 URL 查询字符串（包括 expires、路由路径及所有查询参数）与应用密钥（APP_KEY）共同哈希生成不可伪造的 signature。这意味着：
- expires=1654334707 是明文传输的，并非隐藏或加密；
- 但一旦手动修改该值（如改为 expires=2147483647），Laravel 在验证时会重新计算签名——使用修改后的完整参数重新哈希，结果必然与 URL 中原始 signature 不匹配，从而触发拒绝响应（HTTP 403）。
✅ 正确用法示例（路由定义）：
// routes/web.php
Route::get('/register/confirm/{id}', [RegisterController::class, 'confirm'])
->name('register.confirm')
->middleware('signed'); // ✅ 关键：自动校验签名与过期时间
✅ 或在控制器中手动验证：
// 在控制器方法内
if (! URL::hasValidSignature($request)) {
abort(403, 'Invalid or expired signature.');
}
// Laravel 自动检查 expires 参数是否未过期且签名有效
⚠️ 注意事项：
- 必须启用 signed 中间件或显式调用 URL::hasValidSignature()，否则 Laravel 不会执行任何校验，expires 将完全失效；
- 签名依赖 APP_KEY，确保其在生产环境严格保密且不轮换（轮换会导致历史签名全部失效）；
- 过期时间基于服务器当前时间（time()），请保持服务器时间准确（建议启用 NTP 同步）；
- 不要自行解析或验证 expires 字段——Laravel 的 ValidateSignature 中间件已封装完整逻辑（含时间漂移容错、参数规范化等）。
总结：Laravel 签名 URL 的安全性不依赖“隐藏过期时间”，而在于签名对全部参数的强绑定。只要正确使用框架提供的验证机制，手动篡改 expires 或 id 等任意参数均无法绕过校验——这是密码学保证的完整性，而非单纯的时间字段保护。
