生产环境Laravel出现CSRF Token不匹配导致页面过期问题求助

以下是针对生产环境中所有带CSRF的表单均出现token不匹配问题的排查与解决步骤：

• 检查会话配置与域名一致性
  确认.env文件中SESSION_DOMAIN与APP_URL的域名完全匹配，若为多子域名场景，SESSION_DOMAIN需设置为带前缀点的格式（如.example.com），确保会话Cookie能在所有子域中共享。同时验证config/session.php里的domain配置是否正确读取了环境变量值。

• 处理负载均衡/集群环境的会话共享
  若生产环境采用多服务器集群或负载均衡架构，必须统一所有节点的会话驱动：

  • 禁用file驱动，改用redis或database等分布式会话存储；
  • 确保所有节点的会话存储配置（如Redis地址、数据库连接）完全一致，避免各节点生成独立会话导致token不一致。

• 校准CSRF Cookie的安全配置
  根据生产环境的HTTP/HTTPS状态调整.env参数：

  • 启用HTTPS的环境需将SESSION_SECURE_COOKIE设为true，否则设为false；
  • 检查config/session.php中的same_site配置，生产环境推荐设为'lax'，避免Cookie在同域请求中无法正常携带。

• 重新生成应用密钥
  执行命令：

  php artisan key:generate
  

  应用密钥是CSRF token生成的核心依赖，生成后需重启PHP-FPM或Web服务器，确保新密钥生效，避免旧密钥残留导致token生成异常。

• 规范表单CSRF Token的生成方式
  确保所有表单严格使用Laravel官方方式生成token：

  • Blade模板中统一使用@csrf指令生成隐藏字段，禁止手动硬编码token；
  • AJAX请求需在请求头中携带X-CSRF-TOKEN，页面需提前引入meta标签：

    <meta name="csrf-token" content="{{ csrf_token() }}">
    

    通过JS获取该值并添加到请求头。

• 清除全链路缓存
  执行完整的缓存清理命令：

  php artisan optimize:clear
  

  同时强制清除客户端浏览器的Cookie与缓存，排查是否因CDN缓存了旧页面导致用户加载过期的token。

• 调整会话过期处理逻辑
  检查config/session.php中的lifetime（会话有效期）与expire_on_close（关闭浏览器即过期）配置，会话过期后需确保页面能触发token刷新，可通过前端定时请求接口更新token，或在会话过期时强制跳转至登录页，避免用户提交旧token。

内容的提问来源于stack exchange，提问作者Fernando Henrique