如何阻止Laravel 11在用户同意前设置任何Cookie（含会话/XSRF Cookie）？

可以通过自定义中间件+配置调整实现完全阻止Laravel在用户同意前设置会话、XSRF等Cookie，以下是具体步骤：

1. 创建Cookie同意拦截中间件 #

首先生成自定义中间件，用于检查用户是否已同意Cookie，并拦截默认Cookie的设置：

php artisan make:middleware HandleCookieConsent

打开生成的app/Http/Middleware/HandleCookieConsent.php，写入以下逻辑：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class HandleCookieConsent
{
    public function handle(Request $request, Closure $next)
    {
        // 检查是否存在用户同意的Cookie标识
        if (!$request->hasCookie('cookie_consent')) {
            // 禁用会话启动，阻止会话Cookie生成
            $request->session()->disable();
            
            // 执行后续请求逻辑
            $response = $next($request);
            
            // 移除响应头中的XSRF-TOKEN Cookie
            $response->headers->remove('Set-Cookie', 'XSRF-TOKEN');
            
            // 移除会话Cookie（名称取自session配置）
            $sessionCookieName = config('session.cookie');
            $response->headers->remove('Set-Cookie', $sessionCookieName);
            
            return $response;
        }

        return $next($request);
    }
}

2. 调整中间件执行顺序 #

在app/Http/Kernel.php的全局中间件数组中，将HandleCookieConsent放在StartSession中间件之前，确保会话启动前就完成拦截判断：

protected $middleware = [
    \App\Http\Middleware\HandleCookieConsent::class,
    \Illuminate\Foundation\Http\Middleware\ValidatePostSize::class,
    \App\Http\Middleware\TrimStrings::class,
    \Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull::class,
    \App\Http\Middleware\TrustProxies::class,
    \Illuminate\Http\Middleware\HandleCors::class,
    \Illuminate\Session\Middleware\StartSession::class,
    // ... 其他全局中间件
];

3. 实现Cookie同意逻辑 #

添加用户同意Cookie的交互（比如页面上的同意按钮），点击后设置cookie_consent标识Cookie：

// 示例控制器方法，处理同意请求
public function acceptCookies()
{
    // 设置有效期为1年的同意Cookie
    return redirect()->back()->cookie('cookie_consent', 'accepted', 365 * 24 * 60);
}

注意事项 #

• 未同意Cookie时，会话会被禁用，依赖会话的功能（如登录、闪存消息）将无法使用，需在页面上做相应提示（如隐藏需要登录的功能）。
• XSRF保护：未同意Cookie时，表单提交会因缺少XSRF令牌失败，需在页面中判断是否存在同意Cookie，再决定是否渲染表单或提示用户先同意。
• 若使用第三方包生成额外Cookie，需在中间件中补充对应Cookie的移除逻辑。

内容的提问来源于stack exchange，提问作者irrbloss