Laravel中实现每次请求生成新CSRF Token的问题及优化咨询

我明白你要实现的需求——每次请求都生成新的CSRF Token，哪怕清楚这会破坏并发请求的兼容性，也要推进下去。先帮你梳理下当前问题的根源，再给几个更优的实现方案：

问题根源分析 #

你当前的实现是在addCookieToResponse方法里调用regenerateToken()，但这个方法是响应阶段才执行的。而页面渲染时调用的csrf_token()助手函数，是在请求处理的中间阶段（比如控制器逻辑、视图渲染）就已经获取了旧的Token值。这就导致：

• 页面里输出的是旧Token
• 响应Set-Cookie头里带的是新Token
  当用户提交POST请求时，用的是页面里的旧Token，但此时Session里已经是新Token了，自然会抛出TokenMismatchException。

可行的优化方案 #

方案1：在GET请求阶段提前更新Token #

我们可以把Token更新的时机提前到请求处理的起始阶段，并且只针对GET这类读请求更新（避免POST请求还没验证就更新Token导致验证失败）。

重写VerifyCsrfToken中间件的handle方法：

public function handle($request, Closure $next)
{
    // 仅在读请求（GET/HEAD/OPTIONS等）时更新CSRF Token
    if ($this->isReading($request)) {
        $request->session()->regenerateToken();
    }

    return parent::handle($request, $next);
}

然后修改addCookieToResponse方法，去掉重复的regenerateToken()调用，直接使用当前Session的Token：

protected function addCookieToResponse($request, $response)
{
    $config = config('session');
    
    $response->headers->setCookie(
        new Cookie(
            'XSRF-TOKEN',
            $request->session()->token(),
            $this->availableAt(60 * $config['lifetime']),
            $config['path'],
            $config['domain'],
            $config['secure'],
            $config['http_only'],
            false,
            $config['same_site'] ?? null
        )
    );

    return $response;
}

这样一来，用户打开页面（GET请求）时，Session Token就已经更新，视图里的csrf_token()会拿到新值，响应Cookie也同步新值，POST请求时就能正常匹配。

方案2：验证通过后再更新Token（支持所有请求更新） #

如果你的需求是所有请求（包括POST）都要更新Token，那可以在Token验证通过后再执行更新操作，避免验证前更新导致的不匹配。

重写VerifyCsrfToken的tokensMatch方法：

protected function tokensMatch($request)
{
    // 先执行原生的Token验证逻辑
    $isValid = parent::tokensMatch($request);

    // 验证通过后，再生成新的Token
    if ($isValid) {
        $request->session()->regenerateToken();
    }

    return $isValid;
}

同时保持addCookieToResponse方法和方案1一样，直接使用当前Session的Token。这样POST请求验证通过后才会更新Token，不会影响本次请求的验证，下一次请求就会使用新的Token。

重要提醒 #

需要再次明确：这种每次请求都更换CSRF Token的做法，会导致并发请求兼容性问题——比如用户打开多个标签页，第一个标签页提交请求后，其他标签页的Token会立即失效，必须刷新页面才能继续操作。这是你需要接受的 trade-off。

内容的提问来源于stack exchange，提问作者Gabby