Laravel12怎么写中间件限制只允许指定域名访问路由-php教程-PHP中文网

Laravel 12 域名限制需结合 Route::domain() 路由分组与白名单中间件双重校验：前者按 Host 头分流，后者用 #[Middleware] 属性语法运行时拦截非法域名，同时须正确配置 APP_URL 和 SESSION_DOMAIN。

laravel12怎么写中间件限制只允许指定域名访问路由

在 Laravel 12 中，限制路由只允许指定域名访问，核心是结合 Route::domain() 路由分组和自定义中间件完成双重校验：前者按 Host 头分流请求，后者做运行时白名单拦截，确保即使路由被误配或绕过 domain 分组，也能兜底拒绝非法域名。

这是 Laravel 原生支持的子域名路由机制，不依赖中间件，但它是结构化隔离的第一步：

写法必须用 Route::domain('app.example.com')->group(...) 或通配式 Route::domain('{sub}.example.com')->where('sub', 'app|admin')
它只匹配 HTTP 请求头中的 Host 字段（含端口），比如 app.example.com:8000 会被识别为 app.example.com:8000，不是 app.example.com
该分组本身不阻止非法域名访问——如果有人把 Host 改成 hacker.com 却仍命中了某条通用路由，就会漏掉；所以必须搭配中间件做二次校验

中间件负责真正拦截。Laravel 12 要求使用 PHP 8.2+ 属性语法，并注意 Host 处理细节：

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

必须用 php artisan make:middleware RestrictDomains 创建，不能手动新建文件
在 handle() 方法中，用 $request->headers->get('host') 获取原始 Host，再用 explode(':', ...)[0] 剔除端口，转小写后比对
白名单建议从配置读取，例如 config('app.allowed_hosts', ['app.example.com', 'admin.example.com'])，方便不同环境切换
不匹配时直接 abort(404) 或 response('', 403)->header('X-Content-Type-Options', 'nosniff')，避免泄露信息

中间件要作用于特定分组，而不是全局注册：

在 routes/web.php 中，把中间件传给 middleware() 方法： Route::domain('app.example.com')->middleware([RestrictDomains::class])->group(...)
不要在 app/Http/Kernel.php 的 $middlewareGroups 或 $routeMiddleware 里注册这个中间件为“全局”或“别名”，除非你明确需要复用
若用 PHP 属性语法（Laravel 12 推荐），可在控制器方法上加 #[Middleware(RestrictDomains::class)]，但路由组方式更清晰、更易维护

域名限制生效的前提，是整个应用层信任 Host 头，否则中间件判断无意义：

确认 .env 中 APP_URL=https://app.example.com 和 SESSION_DOMAIN=.example.com（注意开头的点）已设置正确
Laravel 12 默认启用严格域匹配，SESSION_DOMAIN 若缺失或错误，会导致登录态丢失、CSRF 失败，间接让中间件“看似失效”
开发时若用 localhost:8000，需把 localhost 加入白名单，并确保浏览器允许该域名下的 Cookie