Una opción más adecuada sería sobreescibir el método login, para determinar si el usuario puede iniciar sesión o no antes de, y no después de, como lo estás haciendo en este caso.
¿Creo que trabajas con la versión 5.2? En esa versión este es el código que llama a la función authenticated:
/**
* Send the response after the user was authenticated.
*
* @param \Illuminate\Http\Request $request
* @param bool $throttles
* @return \Illuminate\Http\Response
*/
protected function handleUserWasAuthenticated(Request $request, $throttles)
{
if ($throttles) {
$this->clearLoginAttempts($request);
}
if (method_exists($this, 'authenticated')) {
return $this->authenticated($request, Auth::guard($this->getGuard())->user());
}
return redirect()->intended($this->redirectPath());
}
Como puedes ver, es ejecutado después de la autenticación.
Otra opción más sencilla, pero menos recomendada, y que te funcionaría con el código actual sería hacer logout al momento de determinar que no ha sido verificado su correo:
protected function authenticated($request, $user)
{
if($user->confirmed == 1) {
if($user->hasRole('Admin')) {
return redirect()->intended('admin/index');
}
elseif ($user->hasRole('Tutor')) {
return redirect()->intended('admin/index');
}
}
else {
Auth::logout();
return redirect('/login');
}
}
Respuesta complementada por el OP basándose en los comentarios:
Consegui bloquear el acceso sobreescribiendo el metodo login de esta forma:
public function login(Request $request)
{
$this->validateLogin($request);
$validado = DB::table('users')->where('email', $request->email)->value('confirmed');
if ($validado == 1) {
if ($this->hasTooManyLoginAttempts($request)) {
$this->fireLockoutEvent($request);
return $this->sendLockoutResponse($request);
}
if ($this->attemptLogin($request)) {
return $this->sendLoginResponse($request);
}
}
else {
$this->incrementLoginAttempts($request);
return $this->sendFailedLoginResponse($request);
}
}