Laravel 11自定义VerifyCsrfToken中间件失效问题求助

针对你遇到的问题，结合Laravel 11的新特性，按以下步骤排查修复：

1. 检查自定义中间件写法 #

确保CustomVerifyCsrfToken正确继承父类并定义$except数组，避免语法或命名空间错误：

<?php

namespace App\Http\Middleware;

use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken;

class CustomVerifyCsrfToken extends VerifyCsrfToken
{
    /**
     * 排除CSRF验证的URI列表
     *
     * @var array<int, string>
     */
    protected $except = [
        '/profile/contact',
        // 可添加其他需要排除的路径
    ];
}

2. 正确替换默认中间件 #

Laravel 11中需使用replace方法替换默认的VerifyCsrfToken，而非新增中间件。修改bootstrap/app.php：

use App\Http\Middleware\CustomVerifyCsrfToken;
use Illuminate\Foundation\Http\Middleware\VerifyCsrfToken;

return Application::configure(basePath: dirname(__DIR__))
    ->withRouting(
        web: __DIR__.'/../routes/web.php',
        commands: __DIR__.'/../routes/console.php',
        health: '/up',
    )
    ->withMiddleware(function (Middleware $middleware) {
        // 替换web组内的默认CSRF中间件
        $middleware->replace(VerifyCsrfToken::class, CustomVerifyCsrfToken::class);
    })
    ->create();

注意：不要用push或prepend，否则会同时加载默认和自定义中间件，导致$except不生效。

3. 验证路径匹配一致性 #

• 确认web.php中的路由路径与$except内的完全一致，包括前缀、参数格式（若有动态参数，可使用通配符*，如/profile/*/contact）
• 请求时检查实际URL是否与配置路径一致，避免大小写或额外后缀问题

4. 清除缓存 #

Laravel的配置/路由缓存可能导致修改不生效，执行以下命令：

php artisan cache:clear
php artisan config:clear
php artisan route:clear

5. 调试$except数组状态 #

在自定义中间件的handle方法中添加调试代码，确认$except是否被正确加载：

public function handle($request, Closure $next)
{
    // 临时调试，查看$except值
    var_dump($this->except);
    exit;
    return parent::handle($request, $next);
}

若输出为空，说明自定义中间件未被正确加载，需检查命名空间、类名拼写，以及bootstrap/app.php中的替换逻辑。

内容的提问来源于stack exchange，提问作者naoru