Laravel 8 自定义中间件无法正常设置购物车Cookie问题求助

核心排查方向 #

按照问题出现概率从高到低逐一核验即可：

• 中间件挂载顺序错误（最高发问题）
  Laravel核心中间件（包括EncryptCookies、AddQueuedCookiesToResponse、StartSession、EnsureFrontendRequestsAreStateful、VerifyCsrfToken）在请求生命周期里的执行顺序是固定的，如果把自定义的购物车Cookie中间件放在这些核心中间件之前挂载：
  1. 一旦后续的跨域校验、CSRF校验、Sanctum状态校验逻辑提前抛出重定向、错误响应，请求根本走不到代码里写Cookie的分支，自然不会生成Set-Cookie响应头
  2. 如果EncryptCookies执行在自定义中间件之后，会存在Cookie加解密流程冲突，导致写入的Cookie值无法被正确解析
     调整方法：打开app/Http/Kernel.php，把自定义CartCookieMiddleware放到web、api两个分组的中间件列表的最后端，确保所有核心请求处理流程跑完之后，最后才执行Cookie写入逻辑。
• 浏览器端拦截了Set-Cookie响应
  打开浏览器开发者工具的网络面板，找任意一次API请求，先看响应头里有没有Set-Cookie: cart_id=xxx字段：
  • 如果根本没有这个字段：说明Laravel后端逻辑没走到写Cookie的分支，大概率是之前手动在浏览器里残留了同名字的旧cart_id Cookie，导致!$request->cookie('cart_id')判断永远为false。清空浏览器站点Cookie后重试即可。
  • 如果有这个字段，但是Application面板里没存下Cookie：就是Cookie属性配置不符合浏览器安全规则，重点检查：
    • 本地http测试环境下，不要把Cookie的secure属性设为true，否则浏览器会直接拒绝http请求下的Cookie存储
    • 跨域场景下（比如前端跑Vite的5173端口，后端跑8000端口），需要把Cookie的sameSite设为lax，如果是跨站部署则需要设为none+同时开启secure属性
    • Cookie的path属性必须设为/，否则只会在当前接口路径下生效，其他路径的请求读不到
• CORS与Sanctum配置不匹配
  因为项目用的是Sanctum的Cookie会话认证，不是无状态Token模式：
  1. 检查config/cors.php里的supports_credentials必须设为true，allowed_origins不能配*，要填前端实际的访问地址——配*的情况下，浏览器会直接拦截携带凭证的跨域响应，即使后端返回了Set-Cookie也不会存储
  2. 检查config/sanctum.php里的stateful数组，必须包含前端的本地测试域名（比如localhost:5173），否则Sanctum不会给对应来源的响应加上允许携带Cookie的CORS头。

代码优化方案 #

原有写法存在稳定性隐患：直接把Cookie挂在$next($request)返回的下游响应上，如果下游控制器返回新的响应对象、或者调用->withoutCookie()清理Cookie，写入的Cart ID会被直接覆盖丢失。
推荐改用Laravel自带的Cookie队列机制，由全局中间件统一把队列里的Cookie附加到最终响应上，稳定性更高：

public function handle(Request $request, Closure $next)
{
    // 仅当请求没有携带有效cart_id时才生成新ID
    if (! $request->hasCookie('cart_id')) {
        $cartId = (string) \Illuminate\Support\Str::uuid(); // 替换硬编码的固定值，保证每个访客的ID唯一
        // 把Cookie推入响应队列，不直接操作下游响应对象
        cookie()->forever('cart_id', $cartId, null, '/', null, false, true);
    }
    return $next($request);
}

注意：不要在$next($request)之后再给响应追加Cookie，优先使用Cookie队列机制降低被响应逻辑覆盖的概率。

内容的提问来源于stack exchange，提问作者Liam Arbel