Laravel 7.x长时间闲置后页面过期问题解决咨询

你分析的完全正确，问题根源就是Session过期后CSRF令牌失效：用户长时间闲置导致Laravel Session过期，Session中存储的CSRF令牌也被清除，此时触发POST方式的登出请求，令牌验证失败抛出TokenMismatchException，最终显示「Page Expired」页面。

下面给你几个实用的解决方案，按实现复杂度和场景适配性排序：

方案一：将登出请求改为GET方式（最简单直接） #

虽然RESTful规范里修改状态的操作推荐用POST，但登出属于幂等操作，改成GET可以彻底避开CSRF令牌的限制，快速解决问题。

步骤1：覆盖默认登出路由 #

在routes/web.php中添加GET版本的登出路由，覆盖Laravel自带的POST路由：

use Illuminate\Support\Facades\Auth;

Route::get('logout', function () {
    Auth::logout();
    // 登出后跳转登录页并给出友好提示
    return redirect('/login')->with('info', '您已因长时间未操作自动登出，请重新登录');
})->name('logout');

步骤2：简化前端代码 #

去掉原来的隐藏表单，直接让a标签跳转即可：

<a class="dropdown-item" href="{{ route('logout') }}"> {{ __('Logout') }} </a>

这样用户即使Session过期，点击登出也会直接触发GET请求完成登出，不会再出现页面过期提示。

方案二：捕获TokenMismatchException，重定向到登录页（更符合规范） #

如果你想保留POST方式的登出，可以通过自定义异常处理，把CSRF令牌失效的情况引导到登录页，替代默认的错误页面。

修改app/Exceptions/Handler.php文件：

use Illuminate\Session\TokenMismatchException;

public function render($request, Exception $exception)
{
    // 捕获CSRF令牌失效异常
    if ($exception instanceof TokenMismatchException) {
        return redirect()->route('login')
            ->with('error', '会话已过期，请重新登录');
    }

    return parent::render($request, $exception);
}

这样当用户Session过期后点击登出，会自动跳转到登录页并显示友好提示，而不是生硬的「Page Expired」。

方案三：提前刷新CSRF令牌（适合高安全性场景） #

如果必须保留POST登出且不想改变路由规则，可以通过JavaScript在用户点击登出前，先获取新的CSRF令牌再提交表单。这个方案需要额外的AJAX请求，适合对安全性要求极高的场景：

步骤1：添加刷新CSRF令牌的路由 #

Route::get('refresh-csrf', function () {
    return response()->json(['csrf_token' => csrf_token()]);
})->name('refresh.csrf');

步骤2：修改前端点击事件逻辑 #

<a class="dropdown-item" href="{{ route('logout') }}" onclick="event.preventDefault(); handleLogout();"> {{ __('Logout') }} </a>

<form id="logout-form" action="{{ route('logout') }}" method="POST" style="display: none;">
    @csrf
</form>

<script>
function handleLogout() {
    // 先请求刷新CSRF令牌
    fetch('{{ route('refresh.csrf') }}')
        .then(response => response.json())
        .then(data => {
            // 更新表单中的CSRF令牌值
            document.querySelector('#logout-form input[name="_token"]').value = data.csrf_token;
            // 提交登出表单
            document.getElementById('logout-form').submit();
        })
        .catch(() => {
            // 如果请求失败（说明Session已彻底过期），直接跳转登录页
            window.location.href = '{{ route('login') }}';
        });
}
</script>

这个方案会在用户点击登出时，先尝试获取新的CSRF令牌，成功后再提交登出表单；如果获取失败，就直接跳转到登录页。

内容的提问来源于stack exchange，提问作者Konjesh Esbrading