Laravel Sanctum：控制器兼容游客与用户的身份校验问题

核心问题原因 #

你遇到的情况是：不加auth:sanctum中间件时，auth('sanctum')->check()始终返回false，本质是因为Sanctum需要特定中间件来解析请求中的认证凭证（不管是cookie还是Bearer令牌），但auth:sanctum中间件会强制校验登录，不符合你同时开放游客访问的需求。

具体解决方案 #

1. 确保路由能解析认证凭证

根据你的应用类型（SPA/移动端API），做对应配置：

• SPA应用（Cookie认证）：把需要开放的路由放到api中间件组里，或者单独添加EnsureFrontendRequestsAreStateful中间件。因为你的api中间件组已经包含了这个处理Sanctum cookie认证的核心中间件，没有它的话，Sanctum读不到登录用户的cookie凭证。
  示例路由配置：

  // 把需要同时允许游客和登录用户访问的路由放到api中间件组内
  Route::middleware('api')->group(function () {
      Route::post('display-posts', [PostsControllerFrontend::class, 'displayPosts']);
  });
  
  // 原来需要强制登录的路由保持不变
  Route::middleware('auth:sanctum')->group(function () {
      Route::get('user', [AuthController::class, 'user']);
      Route::post('logout', [AuthController::class, 'logout']);
      Route::prefix('panel')->group(function () {
          Route::post('something', [SomethingController::class, 'something']);
      });
  });
  

• 移动端API（Bearer令牌）：路由不需要额外中间件，但要确保请求头里携带Authorization: Bearer {用户令牌}。

2. 修改控制器方法，灵活判断登录状态

不需要依赖auth:sanctum中间件，直接在控制器里调用auth('sanctum')->user()来判断用户是否登录，返回对应内容：

public function displayPosts()
{
    $loggedUser = auth('sanctum')->user();

    // 模拟获取帖子数据
    $posts = // 你的帖子查询逻辑

    if ($loggedUser) {
        // 已登录用户，返回带用户ID的信息
        return response()->json([
            'posts' => $posts,
            'is_logged_in' => true,
            'user_id' => $loggedUser->id
        ]);
    } else {
        // 游客访问，返回基础数据
        return response()->json([
            'posts' => $posts,
            'is_logged_in' => false
        ]);
    }
}

3. 额外注意事项

• SPA应用要确保前端正确配置了CSRF令牌，请求头携带X-XSRF-TOKEN（Axios通常会自动从cookie读取并携带）。
• 用户登录时，要确保通过正确的方式生成Sanctum会话（比如使用Auth::login($user)，或者API场景下用$user->createToken('token-name')->plainTextToken生成令牌）。

内容的提问来源于stack exchange，提问作者sadasdadssad