Laravel Breeze认证中间件未认证时不跳转且报500错误求助

问题根源分析 #

这个500错误的核心是请求被错误识别为API请求（或误用了Sanctum的无状态Guard），导致登录路由生成失败，进而在VerifyCsrfToken中间件触发类型错误：

1. Guard配置冲突：引入Sanctum后若默认Guard被改为sanctum（API无状态Guard），auth中间件会用该Guard验证web请求，此时请求会被标记为API类型。
2. 路由查找失败：当请求被标记为API类型时，route('auth.login')会尝试在API路由中查找该命名路由（而你的登录路由实际在web路由中），导致路由查找失败返回false，redirect(false)触发后续中间件的类型错误。
3. 中间件配置错误：若Sanctum的EnsureFrontendRequestsAreStateful中间件被错误加入web中间件组，会干扰web请求的session处理，引发CSRF验证环节的异常。

解决步骤 #

1. 检查默认Guard配置 #

打开config/auth.php，确保默认Guard为web（Sanctum的sanctumGuard仅用于API路由）：

'defaults' => [
    'guard' => 'web',
    'passwords' => 'users',
],

2. 明确指定Web路由使用Web Guard #

在受保护的web路由中，强制auth中间件使用web Guard，避免被Sanctum Guard干扰：

// routes/web.php
Route::get('/dashboard', [DashboardController::class, 'index'])
    ->middleware('auth:web'); // 明确指定web Guard

3. 验证登录路由的命名与存在性 #

确认web路由中存在命名为auth.login的登录路由，可通过php artisan route:list命令检查：

// routes/web.php
Route::get('/login', [AuthenticatedSessionController::class, 'create'])
    ->name('auth.login'); // 确保路由命名正确

4. 修正Sanctum中间件配置 #

打开app/Http/Kernel.php，确保EnsureFrontendRequestsAreStateful::class仅存在于api中间件组：

protected $middlewareGroups = [
    'web' => [
        // 仅保留web相关中间件，不要包含EnsureFrontendRequestsAreStateful
        \App\Http\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\VerifyCsrfToken::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],

    'api' => [
        \Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class,
        'throttle:api',
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],
];

5. 规范Unauthenticated方法实现 #

区分web与API请求的响应逻辑，避免冲突：

// app/Http/Middleware/Authenticate.php
protected function unauthenticated($request, array $guards)
{
    if ($request->expectsJson()) {
        abort(response()->json(['message' => 'Unauthenticated.'], 401));
    }

    return redirect()->route('auth.login');
}

验证解决效果 #

执行以下命令清除缓存后，测试未登录访问受保护路由：

php artisan route:clear
php artisan config:clear

内容的提问来源于stack exchange，提问作者kJamesy