Laravel9+Nuxt3 SPA认证：Cookie存令牌是否安全？与Sanctum有何差异？

一、Cookie属性与安全配置差异 #

Laravel Sanctum在SPA模式下生成的Cookie（比如laravel_session会话Cookie、XSRF-TOKEN）会自动带上HttpOnly、Secure、SameSite=Lax/Strict这些关键安全属性：

• HttpOnly：禁止前端JS读取Cookie，直接阻断XSS脚本窃取会话令牌的可能
• Secure：仅在HTTPS连接下传输Cookie，避免明文传输泄露
• SameSite：限制Cookie仅在同站请求中发送，大幅降低CSRF攻击风险

而你自行存储令牌到Cookie时，如果没有手动配置这些属性，Cookie就会处于无防护状态——比如没设HttpOnly的话，XSS脚本能直接拿到令牌；没设SameSite的话，跨站请求也会携带Cookie，极易遭CSRF攻击。

二、认证逻辑的完整性差异 #

Sanctum的SPA认证是和Laravel的会话系统深度绑定的，自带一套完整的安全校验机制：

• 自动生成并验证XSRF令牌：前端请求时必须携带X-XSRF-TOKEN请求头，后端会比对该头与Cookie中的XSRF-TOKEN是否一致，彻底抵御CSRF
• 会话生命周期管理：后端可以主动作废会话（比如用户登出、修改密码时），令牌会立即失效
• 自动处理会话刷新：根据配置自动延长会话有效期，无需前端手动操作

而你自行实现的令牌存储，大概率缺失这些校验逻辑——比如只靠Cookie传递令牌，没有XSRF验证，仅靠SameSite属性的话，在某些场景下（比如旧浏览器不支持SameSite）依然有CSRF风险；而且令牌一旦生成，没法后端主动作废，只能等Cookie过期，安全性大打折扣。

三、令牌的本质差异 #

Sanctum SPA模式用的是会话令牌，它和用户的会话状态绑定，后端能实时追踪会话的有效性；而你自行生成的令牌更像是独立的API令牌，没有和后端会话关联，一旦泄露，攻击者可以一直使用直到令牌过期，没法被后端主动回收。

• CSRF防护：自行存储令牌若缺失XSRF验证，风险极高；Sanctum通过XSRF令牌+SameSite Cookie双重防护，几乎杜绝CSRF
• XSS防护：自行存储的Cookie若未设HttpOnly，令牌会被XSS窃取；Sanctum的会话Cookie是HttpOnly的，XSS无法读取，XSRF令牌即使被窃取也无法直接用于认证
• 令牌可控性：自行存储的令牌无法后端主动作废；Sanctum会话令牌可随时被后端 invalidate，风险可控

既然SSR场景下没法用localStorage，优先搞定Sanctum的SPA认证，步骤大致如下：

1. 在Laravel的config/sanctum.php中，把Nuxt3的域名加入stateful数组
2. Nuxt3中配置请求库（如ofetch、axios），在请求拦截器中自动读取XSRF-TOKENCookie，并设置X-XSRF-TOKEN请求头
3. 登录接口使用Laravel自带的会话登录逻辑（而非手动生成API令牌），后端会自动返回会话Cookie，浏览器会自动保存
4. 后续请求浏览器会自动携带会话Cookie，后端通过Sanctum验证会话有效性即可

内容的提问来源于stack exchange，提问作者Moemen Hussein