Laravel 9+Breeze：如何通过外部JavaScript实现用户登录？

你的核心问题是基于Session的Web认证（Breeze默认机制）无法在外部JS跨域/无凭证请求中维持状态，原因及解决办法如下：

1. 跨域请求未携带凭证 #

外部JS调用API时，默认不会携带Cookie（包含Session ID），导致Laravel生成的Session无法被后续请求识别。

解决： #

在JS请求中开启凭证携带：

• 若用fetch：

fetch('/api/set-login', {
  method: 'POST',
  credentials: 'include', // 关键：携带Cookie
  headers: {
    'Content-Type': 'application/json',
    'X-CSRF-TOKEN': document.querySelector('meta[name="csrf-token"]').content
  },
  body: JSON.stringify({ login_token: '你的token' })
})

• 若用axios：

axios.post('/api/set-login', { login_token: '你的token' }, {
  withCredentials: true, // 关键：携带Cookie
  headers: {
    'X-CSRF-TOKEN': document.querySelector('meta[name="csrf-token"]').content
  }
})

2. API路由未启用Session中间件 #

Breeze的Web认证依赖Session，但api中间件组默认是无状态的（不加载Session）。如果你的setLogin路由在api.php中，需要手动添加Session相关中间件。

解决： #

将路由移到web.php，或者在api.php中指定中间件：

// routes/api.php
Route::post('/set-login', [AuthController::class, 'setLogin'])
    ->middleware(['web', 'throttle:api']);

3. Session配置不兼容跨域场景 #

如果是跨域请求，Session Cookie的sameSite和domain配置会影响浏览器是否保存Cookie。

解决： #

修改config/session.php：

return [
  // ...
  'domain' => env('SESSION_DOMAIN', '.your-domain.com'), // 允许子域名共享，注意前缀的点
  'same_site' => env('SESSION_SAME_SITE', 'lax'), // 跨域HTTPS场景可设为'none'，同时确保secure=true
  'secure' => env('SESSION_SECURE_COOKIE', true), // HTTPS环境开启
];

4. 验证Session是否生效 #

在后续请求中，通过Auth::check()或者request()->user()验证登录状态，比如新增一个测试接口：

public function checkAuth(Request $request)
{
    return response()->json([
        'logged_in' => Auth::check(),
        'user' => Auth::user()?->mem_id
    ]);
}

用同样带凭证的JS请求调用这个接口，就能确认Session是否正常维持。

内容的提问来源于stack exchange，提问作者Julian