Laravel Sanctum Cookie认证退出后旧会话仍有效问题咨询

问题根因 #

该问题不属于基于Cookie的会话机制缺陷，也不是Laravel Sanctum的设计漏洞，全部源于实现环节的配置或逻辑遗漏：

• Cookie确实仅存储在客户端，但服务端会维护会话ID与用户认证状态的映射关系，正常执行会话销毁逻辑后，服务端会将对应会话标记为无效，携带旧Cookie的请求应当被拦截为未认证状态。
• 退出后重发请求仍返回认证数据，90%以上是三类问题导致：
  • 路由未挂载到正确的中间件组，会话操作根本没有生效
  • 未清理「记住我」令牌，Sanctum通过记住我Cookie自动恢复了认证状态
  • 浏览器网络面板重发请求时自动携带了当前最新的有效Cookie，而非请求抓取时点的旧Cookie，属于测试方法的误判

正确实现步骤 #

1. 路由配置修正 #

所有Sanctum SPA认证相关的登录、登出、受保护接口，必须放到routes/web.php中，挂载web中间件组，禁止放到api.php下走无状态的api中间件：

// routes/web.php
use App\Http\Controllers\AuthController;
use Illuminate\Support\Facades\Route;

Route::middleware('web')->group(function () {
    Route::post('/auth/login', [AuthController::class, 'login']);
    Route::post('/auth/logout', [AuthController::class, 'logout'])->middleware('auth:sanctum');
    Route::get('/auth/user', [AuthController::class, 'user'])->middleware('auth:sanctum');
});

注意：不要将上述路由加入CSRF白名单，前期请求/sanctum/csrf-cookie已经完成CSRF令牌初始化，POST请求正常携带XSRF令牌即可。

2. 退出逻辑补全 #

原有退出逻辑缺少记住我令牌清理、主动过期客户端Cookie两个关键步骤，完整可落地的代码如下：

public function logout(Request $request)
{
    Auth::guard('web')->logout();
    $request->session()->invalidate();
    $request->session()->regenerateToken();

    // 清理记住我令牌，防止自动续期认证
    $request->user()->forceFill([
        'remember_token' => null
    ])->save();

    // 主动下发过期Cookie，通知客户端清除本地存储的会话Cookie
    return response()->noContent()->withoutCookie(config('session.cookie'));
}

验证排查清单 #

如果按上述步骤修改后问题仍存在，逐项检查以下配置：

• 检查config/sanctum.php的stateful配置项，确保SPA访问域名已加入有状态域名列表，否则Sanctum不会启用Cookie会话认证
• 检查config/auth.php的默认守卫配置，Sanctum SPA认证依赖web守卫维护会话状态，不要随意替换为api守卫
• 测试旧会话有效性时，不要直接使用浏览器网络面板的「重发」功能，改用Postman或curl固定请求头中的Cookie值，排除浏览器自动更新Cookie带来的测试偏差
• 检查会话驱动可用性：如果使用file驱动，确认storage/framework/sessions目录有写入权限；如果使用database/redis驱动，确认存储连接正常，否则会话失效标识无法持久化，旧会话不会被判定为无效

内容的提问来源于stack exchange，提问作者Nick Davies