Laravel 点击邮件验证链接后 Safari 会话失效的问题求助

背景说明 #

基于Laravel框架开发应用约1个月，开发测试阶段仅使用Google Chrome浏览器，项目启用Laravel内置的邮箱必须验证功能，该流程在Chrome中运行完全正常，切换到Mac设备的Safari浏览器时出现运行异常。

问题描述 #

从邮件客户端打开应用发送的验证邮件，点击邮件内的「Verify Email Address」链接完成验证的操作在Safari中失效。Chrome环境下点击链接后，会以已验证用户身份正常跳转至用户面板；但Safari环境下点击链接后，会被直接重定向到登录页，身份状态显示为未验证、未登录，表现和浏览器无对应会话的状态完全一致。

（附验证邮件的界面截图参考）

已完成的排查操作 #

• 在Mac设备上安装Google Chrome浏览器做交叉测试，同环境下验证功能运行完全正常
• 花费数小时查阅Laravel认证流程的官方文档
• 参考了公开技术社区的同类型问题帖，其中提到Safari要求URL带有www前缀才能正常识别链接，但本地开发环境下不具备生产域名配置的条件，无法直接应用该结论

环境信息 #

• PHP版本：7.3.24
• Laravel版本：8.20.1
• 测试环境：LEMP、LAMP两套栈分别部署在不同设备上
• Safari版本：14.0.2

绝大多数同类型问题都集中在Cookie域匹配、会话配置环节，按优先级从高到低排查即可快速定位：

• 优先核对会话Cookie配置
  Safari对Cookie的域匹配、安全规则校验比Chrome严格很多，打开项目根目录下config/session.php检查三个核心配置：
  1. domain参数：如果配置值和你实际访问应用的域名不一致，Safari会直接拒绝写入/读取Cookie。本地开发时，如果你用localhost访问就填localhost，用127.0.0.1访问就填127.0.0.1，不要随意配置带点前缀的全局域（除非真的需要跨子域共享会话）
  2. secure参数：如果本地是HTTP协议访问，但该参数被设置为true，Safari会直接丢弃所有非HTTPS环境下的Cookie。本地开发时需确保该参数对应的值在.env中配置为SESSION_SECURE_COOKIE=false，只有生产环境启用HTTPS时再开启
  3. same_site参数：Safari的智能反跟踪（ITP）机制对跨站请求的Cookie拦截更激进，本地开发可保持Laravel默认的lax值即可，不要设置过严格的策略导致顶级导航请求无法携带Cookie
• 核对生成链接的URL一致性
  检查.env文件中的APP_URL配置值，确保和你在Safari中实际访问应用的地址完全一致：
  1. 不要混用带www、不带www的地址，比如APP_URL写的是http://myapp.test，但Safari打开的是http://www.myapp.test，两个地址的Cookie完全不共享，自然会出现会话丢失
  2. 注意端口匹配：如果你的本地应用跑在8000端口，生成的验证链接里必须带对应的端口，Safari不会像Chrome那样自动补全端口匹配，端口不一致的请求会被判定为不同域，无法携带对应会话Cookie
• 核对路由中间件配置
  确认邮件验证的路由是被加入web中间件组的：Laravel的会话功能仅在web中间件组中启用，如果验证路由被误加入api中间件组，整个流程不会加载会话状态，就会出现“未登录”的报错。Chrome环境下偶发正常是因为之前访问web路由时已经写入了全局Cookie，被浏览器自动带到了无会话的路由请求里，而Safari的缓存清理策略更严格，不会自动携带这类全局Cookie。

补充：技术社区提到的“Safari要求URL带www前缀”是生产环境跨域Cookie共享的特殊场景，本地开发环境完全不需要额外配置www前缀，只要保证所有访问地址和生成链接的域、端口、协议完全一致，就可以规避这类问题。

内容的提问来源于stack exchange，提问作者Eric Qvarnström