Laravel的$request->session()->regenerateToken()方法用途及登出调用原因？

登出时重新生成CSRF令牌，本质是补上会话安全的最后一环，核心原因有这几个：

• 堵死会话固定攻击的后续漏洞
  会话固定攻击中，攻击者可能提前获取一套合法的CSRF令牌+会话ID，诱导用户用这套凭证登录。登出时虽然销毁了用户会话，但如果不更新CSRF令牌，攻击者手里的旧令牌仍可能有效。重新生成令牌后，旧令牌直接失效，就算攻击者后续想伪造请求（比如诱导用户点恶意链接），也过不了Laravel的CSRF验证。

• 彻底切断旧身份的凭证关联
  Laravel的CSRF令牌和当前会话是绑定的。登出销毁旧会话后，浏览器缓存里的旧令牌如果还留存，用户后续重新登录时，新会话和旧令牌可能出现匹配冲突，甚至给攻击者留下利用空间。重新生成令牌能确保新会话对应全新的验证凭证，避免这类问题。

• 遵循安全防护的冗余原则
  登出是用户身份终止的关键节点，所有和旧身份相关的敏感凭证都应该被作废或更新。CSRF令牌作为验证请求合法性的核心凭证，跟着会话一起更新属于安全防护的冗余操作——多一层凭证刷新，就能多减少一分潜在的攻击面。

举个实际场景：攻击者在公共设备上留下了带旧CSRF令牌的恶意操作链接，用户登出后，这个旧令牌已经失效，就算用户不小心点了链接，请求也会被Laravel直接拦截，不会执行任何敏感操作。

内容的提问来源于stack exchange，提问作者Laravelis