Laravel Sanctum AuthenticateSession中间件登出后重登异常问题

核心问题出在AuthenticateSession中间件的密码哈希校验机制：该中间件会在用户登录时，把当前用户的密码哈希存入会话的password_hash字段，后续每次请求都会对比当前用户的密码哈希与会话中存储的值。

你遇到的场景：

• 切换账号登录时，旧会话未被彻底销毁，会话中残留了上一个用户的密码哈希，新用户登录后，中间件发现哈希不匹配，直接强制登出。
• 重置密码后，用户的密码哈希已更新，但会话中还是旧的哈希值，同样触发校验失败。

你的登出逻辑只执行了session()->flush()和regenerateToken()，但没有彻底销毁旧会话并生成全新会话ID——SPA是无刷新应用，当前请求周期内可能还在复用旧会话的上下文，导致新登录时会话数据未完全重置。

修改登出方法，采用Laravel官方推荐的彻底销毁会话的流程：

Auth::guard('web')->logout();

if ($request->hasSession()) {
    // 标记当前会话为无效，清空会话数据并删除服务器端存储
    $request->session()->invalidate();
    // 生成全新的会话ID，创建新会话实例，彻底脱离旧会话
    $request->session()->regenerate();
    // 刷新CSRF令牌（regenerate已自动更新令牌，此步可选）
    $request->session()->regenerateToken();
}

关键区别 #

• flush()仅清空会话数据，但会话ID不变，旧会话仍可能被复用；invalidate()会直接销毁整个会话，确保服务器端不再保留旧会话数据。
• regenerate()生成全新会话ID，让SPA的后续请求使用全新会话，彻底避免旧会话的残留数据干扰。

额外注意事项 #

• 前端登出后要同步清除本地存储的相关凭证（比如Sanctum的Cookie或令牌），避免继续携带旧会话信息发起请求。
• 用户重置密码后，建议强制触发登出流程（执行上述会话销毁逻辑），确保旧会话中的密码哈希被清除，避免登录时校验失败。

内容的提问来源于stack exchange，提问作者ali mashayekhi