Laravel 10 + Inertia生产环境认证无法创建会话问题求助

核心排查与修复步骤 #

1. 核对Inertia的CSRF配置 #

Inertia的AJAX请求依赖CSRF令牌验证，生产环境配置失误会直接导致会话初始化失败：

• 确认resources/js/app.js中正确集成CSRF逻辑（默认生成的代码通常包含，但需检查是否被误删）：

  import { createInertiaApp } from '@inertiajs/vue3';
  import { resolvePageComponent } from 'laravel-vite-plugin/inertia-helpers';
  import { createApp, h } from 'vue';
  import { ZiggyVue } from '../../vendor/tightenco/ziggy/dist/vue.m';
  
  const appName = window.document.getElementsByTagName('title')[0]?.innerText || 'Laravel';
  
  createInertiaApp({
    title: (title) => `${title} - ${appName}`,
    resolve: (name) => resolvePageComponent(`./Pages/${name}.vue`, import.meta.glob('./Pages/**/*.vue')),
    setup({ el, App, props, plugin }) {
      return createApp({ render: () => h(App, props) })
        .use(plugin)
        .use(ZiggyVue)
        .mount(el);
    },
    progress: {
      color: '#4B5563',
    },
  });
  

• 检查页面头部的CSRF meta标签是否存在且有效：

  <meta name="csrf-token" content="{{ csrf_token() }}">
  

• 用浏览器开发者工具的Network面板，确认认证请求的请求头里包含X-CSRF-TOKEN字段。

2. 会话配置细节校验 #

即使切换过会话驱动，以下配置项容易被忽略：

• .env中的SESSION_DOMAIN必须匹配生产环境域名，比如生产域名为yourdomain.com，则设为SESSION_DOMAIN=yourdomain.com，不要带http://或https://前缀。
• HTTPS环境下必须把SESSION_SECURE_COOKIE设为true，HTTP环境设为false：

  SESSION_SECURE_COOKIE=true
  

• 确认SESSION_LIFETIME设置合理，避免会话刚创建就过期。

3. 服务器环境深层问题排查 #

• 权限不仅要给写入权限，还要确保storage/framework/sessions目录的所有者和web服务器进程一致（比如Nginx用www-data，Apache用apache），执行命令：

  chown -R www-data:www-data storage/framework/sessions
  chmod -R 755 storage/framework/sessions
  

• 若服务器启用了OPcache，需确保Laravel配置文件不会被缓存，在php.ini中添加：

  opcache.validate_timestamps=1
  opcache.revalidate_freq=2
  

• 查看服务器错误日志（比如/var/log/nginx/error.log、/var/log/apache2/error.log），排查是否有防火墙或ModSecurity等安全模块拦截了会话相关请求，可临时关闭测试。

4. 认证逻辑调试（临时开启，用完关闭） #

在生产环境添加日志输出，定位问题节点：

use Illuminate\Support\Facades\Log;

// Auth::attempt后添加日志
Log::info('认证结果', ['是否成功' => Auth::check(), '用户ID' => Auth::id()]);
Log::info('会话状态', ['是否存在' => $request->session()->exists(), '会话ID' => $request->session()->getId()]);

// 重定向前添加日志
Log::info('即将跳转首页，当前会话ID', ['session_id' => $request->session()->getId()]);

查看storage/logs/laravel.log，确认认证是否成功、会话ID是否生成，以及跳转后会话是否丢失。

5. Inertia重定向的特殊处理 #

Inertia的AJAX认证请求不能用普通redirect()，否则会话无法正确绑定到后续请求，需改用：

return Inertia::location(route('home'));

内容的提问来源于stack exchange，提问作者Daniel