为何Route::group中间件对apiResources不生效？Sanctum鉴权异常

API 探路者

2026-8-16

为何auth:sanctum中间件分组不生效？

以下是几个常见的排查方向：

1. 路由重复定义

如果profile、specialization等路由在其他位置（比如未加中间件的api.php或web.php）已经被注册，Laravel会优先匹配先加载的路由，导致带auth:sanctum的分组路由未被命中。

检查所有路由文件，确保目标路由没有重复定义。
执行php artisan route:list命令，查看目标路由的中间件列表，确认auth:sanctum是否已正确绑定。

2. Sanctum配置或初始化异常

若为SPA场景，确认config/sanctum.php的stateful配置包含你的前端域名；若为API Token场景，确保请求头正确携带Authorization: Bearer {token}。
检查app/Http/Kernel.php的api中间件组，是否已注册Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class。

3. 控制器主动跳过中间件

如果对应控制器的构造函数中存在类似$this->middleware('auth:sanctum')->except(['index', 'show'])的代码，会排除指定方法的中间件校验，导致未授权请求可访问这些方法。

查看目标控制器的构造方法，确认无意外排除中间件的逻辑。

4. 路由分组写法隐性问题

可尝试调整分组写法（与原代码逻辑等价），避免潜在的配置异常：

Route::middleware('auth:sanctum')->group(function () {
    Route::apiResources([
        'profile' => ProfileController::class,
        'specialization' => SpecializationController::class,
        'specialization/filter' => SpecializationController::class,
        'location' => LocationController::class,
    ]);
});