Laravel Sanctum：已登录时用Cookie认证调用API遇401，是否需SPA流程？

问题 #

我的应用常规使用Web路由的Cookie认证，但部分场景需要通过AJAX调用API（比如无需刷新页面发送消息，类似旧版Reddit加载页面后用XHR提交评论的模式）。我用Sanctum实现这个功能，根据文档，SPA认证需要先请求/sanctum/csrf-cookie和/login路由，但用户已经处于登录状态且有认证信息，是否还需要执行这个流程？

我用jQuery写的请求代码如下：

$.ajax({
    url: '/api/tickets/{{$id}}/comment',
    method: 'POST',
    dataType: 'json',
    contentType: false,
    processData: false,
    data: formData,
    xhrFields: {
        withCredentials: true
    },
    headers: {
        'X-CSRF-TOKEN': csrf
    },
    success: function(data) {
        console.log(data); 
    },
    error: function(xhr, status, exception) {
        console.log(xhr);
        console.log(status);
        console.log(exception);
    }
});

API端点使用Sanctum认证中间件：

Route::middleware('auth:sanctum')
->post('/tickets/{ticket}/comment', [TicketApiController::class, 'comment']);

现在用户已经登录，但请求还是返回401“Unauthenticated”错误，请问必须走上述两个路由吗？还是可以直接用现有认证信息实现API认证，我是不是遗漏了什么配置？

解决思路与方案 #

不需要重复执行/sanctum/csrf-cookie和/login流程，用户已经通过Web路由完成Cookie认证，只要配置正确，Sanctum可直接识别现有会话。你的401错误大概率是配置遗漏，按以下几点排查：

• 确认Sanctum状态域配置
  打开config/sanctum.php，确保stateful数组包含你的应用完整域名（含端口）。本地开发示例配置：

  'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', sprintf(
      '%s%s',
      'localhost,localhost:8000,127.0.0.1,127.0.0.1:8000,::1',
      env('APP_URL') ? ','.parse_url(env('APP_URL'), PHP_URL_HOST) : ''
  ))),
  

  同时在.env中设置SANCTUM_STATEFUL_DOMAINS=localhost:8000（根据你的实际端口调整），确保域名匹配。

• 检查API路由中间件
  确保API路由没有强制使用auth:api令牌认证中间件，保持使用auth:sanctum即可——Sanctum支持基于Cookie的会话认证，无需额外令牌。

• 验证Cookie传递情况
  打开浏览器开发者工具的Network面板，查看AJAX请求的Cookie字段，确认laravel_session和Sanctum的CSRF Cookie被正确发送。你的代码已设置withCredentials: true，但需确保浏览器没有阻止Cookie跨域（同域下不会有问题）。

• 确认CSRF令牌有效性
  代码中的csrf变量需从页面的meta标签正确获取，比如：

  const csrf = document.querySelector('meta[name="csrf-token"]').content;
  

  避免使用过期或错误的令牌值。

• 检查会话配置
  在config/session.php中，确保domain设置正确。本地开发可设为null或.localhost（带前缀点以支持子域名），保证Cookie能在Web页面和API路由间共享。

当上述配置全部到位后，已登录用户的AJAX请求就能通过auth:sanctum中间件的认证，无需重复执行登录流程。

内容的提问来源于stack exchange，提问作者KaukoTolonen