laravelのメール確認にtokenカラムが必要ない理由

Question

### 前提・事実
laravel6で会員登録時のメール確認を実装しています
[readouble](https://readouble.com/laravel/6.x/ja/verification.html)によるとEmail Verificationに必要なemail_verified_atカラムはマイグレーションを行うことであらかじめ作成されます
migrationのファイルを以下に示しますが、varification_tokenのようなメール確認用トークンのカラムが見当たりません
```php:
public function up()
    {
        Schema::create('users', function (Blueprint $table) {
            $table->id();
            $table->string('name');
            $table->string('email')->unique();
            $table->timestamp('email_verified_at')->nullable();
            $table->string('password');
            $table->rememberToken();
            $table->timestamps();
        });
    }
```

### 質問１
laravelのメール確認について、私は以下のように考えていたのですが、正しいですか？
間違っていたら教えてください
0. 会員登録する（仮登録）
0. 期限付きトークンを生成してtokenカラムに保存
0. emailとtokenの情報を含んだURLを送る
0. 送られたURLへアクセスする
0. アクセスがあったURLの情報からemailとtokenを照合
0. 登録完了



### 質問2
tokenがなければ、emailの情報を含んだURLでアクセスするだけでメール確認が行えるように思えます
なぜtokenカラムを用意しなくてもメール確認ができるのですか？
メール確認ができる仕組みを教えてください

Accepted Answer

ソースコードを順に見て行ったところ、laravelでは期限付き署名URLを用いてメールアドレスの確認を行なっていることがわかりました
署名には、送信USL・有効期限・環境変数を用いているようです
署名URL生成は以下のコードのreturnの部分
$this->keyResolverの部分で環境変数が使われているそうです
```php
// Illuminate\Routing\UrlGenerator.php
public function signedRoute($name, $parameters = [], $expiration = null, $absolute = true)
    {
        $parameters = $this->formatParameters($parameters);

        if (array_key_exists('signature', $parameters)) {
            throw new InvalidArgumentException(
                '"Signature" is a reserved parameter when generating signed routes. Please rename your route parameter.'
            );
        }

        if ($expiration) {
            $parameters = $parameters + ['expires' => $this->availableAt($expiration)];
        }

        ksort($parameters);

        $key = call_user_func($this->keyResolver);

        return $this->route($name, $parameters + [
            'signature' => hash_hmac('sha256', $this->route($name, $parameters, $absolute), $key),
        ], $absolute);
    }

```

検証部分は以下のコード
URLのsignature以外の部分のハッシュ関数の値が、signatureの部分と一致していることと、期限が有効であるかを検証しています
```php
// Illuminate\Routing\UrlGenerator.php
    public function hasValidSignature(Request $request, $absolute = true)
    {
        return $this->hasCorrectSignature($request, $absolute)
            && $this->signatureHasNotExpired($request);
    }

    public function hasCorrectSignature(Request $request, $absolute = true)
    {
        $url = $absolute ? $request->url() : '/'.$request->path();

        $original = rtrim($url.'?'.Arr::query(
            Arr::except($request->query(), 'signature')
        ), '?');

        $signature = hash_hmac('sha256', $original, call_user_func($this->keyResolver));

        return hash_equals($signature, (string) $request->query('signature', ''));
    }

    public function signatureHasNotExpired(Request $request)
    {
        $expires = $request->query('expires');

        return ! ($expires && Carbon::now()->getTimestamp() > $expires);
    }
```

参考文献
[GitHub laravel/frameword](https://github.com/laravel/framework/blob/7.x/src/Illuminate/Routing/UrlGenerator.php)
[Laravelの実装調査](https://qiita.com/t-kuni/items/f01b74036d39cb8cb4a0)

Answer

質問2
のぶんだけ。

`Illuminate\AuthMustVerifyEmail` クラスの `hasVerifiedEmail()` の実装を調べてみてください。

```

trait MustVerifyEmail
{
    /**
     * Determine if the user has verified their email address.
     *
     * @return bool
     */
    public function hasVerifiedEmail()
    {
        return ! is_null($this->email_verified_at);
    }
}
```

middleware の実装ですので、route や controller に `verified` を設定すると、`hasVerifiedEmail()` で認証済みかどうかが判定されます。

前提・事実

質問１

質問2

関連した質問