Laravel跨域登录后Auth::user()返回null问题求助

核心问题诊断 #

登录接口返回的laravel_session与后续接口的Session ID不一致，说明每次请求后端都会生成新的会话，导致Auth::user()无法获取到已登录用户。这是典型的跨域请求下Cookie会话未正确传递/识别问题，根源通常在Session配置、CORS设置或前端请求参数上。

排查与修复步骤 #

1. 修正Session域名配置 #

Laravel的SESSION_DOMAIN不能带协议（比如http://localhost是错误写法），跨域场景下要设置为共享的顶级域名：

• 打开.env文件，修改：

  SESSION_DOMAIN=.localhost
  

  本地开发环境也可以直接留空（让Laravel自动适配当前域名）：

  SESSION_DOMAIN=
  

  配置后记得清除配置缓存：

  php artisan config:clear
  

2. 配置CORS允许凭证传递 #

跨域请求下，后端必须明确允许前端携带Cookie，同时不能用*作为允许的源：

• 编辑config/cors.php：

  return [
      'paths' => ['api/*', 'login', 'logout', '/user/current'],
      'allowed_methods' => ['*'],
      'allowed_origins' => ['http://localhost:3000'], // 指定前端准确域名
      'allowed_origins_patterns' => [],
      'allowed_headers' => ['*'],
      'exposed_headers' => [],
      'max_age' => 0,
      'supports_credentials' => true, // 关键：允许携带凭证
  ];
  

3. 前端开启凭证携带 #

前端请求必须设置withCredentials为true，确保浏览器自动携带Cookie：

• 以Axios为例，全局配置：

  import axios from 'axios';
  axios.defaults.withCredentials = true;
  

  如果用Fetch API：

  fetch('http://localhost:4000/api/user/current', {
      credentials: 'include'
  });
  

4. 调整Session安全配置（本地开发） #

如果本地没有启用HTTPS，SESSION_SECURE_COOKIE必须设为false，否则浏览器会拒绝保存带secure标志的Cookie：

• 在.env中修改：

  SESSION_SECURE_COOKIE=false
  

5. 检查登录逻辑 #

确认登录代码中没有不必要的Session重置：

• 如果登录时调用了session()->regenerate()，确保前端能正确接收并保存新的Session Cookie（开启withCredentials后浏览器会自动处理）；
• 避免手动修改Session ID的逻辑，除非有明确的安全需求。

验证方法 #

1. 登录后，打开浏览器开发者工具 → Application → Cookies → localhost，查看laravel_session的值；
2. 调用/user/current接口，查看请求头的Cookie字段是否携带了这个laravel_session；
3. 检查接口响应头，确认不再生成新的laravel_session，此时Auth::user()应该能正常返回用户信息。

内容的提问来源于stack exchange，提问作者Kawin Cheong