Laravel线上环境TokenMismatchException问题：会话令牌不匹配求助

嘿，这种本地正常、一上线就炸的CSRF令牌不匹配问题真的挺头疼的，我之前帮朋友排查过类似情况，给你梳理几个核心排查方向和解决办法：

1. 先盯紧会话配置（90%的线上问题根源在这里） #

本地和线上的会话环境差异是重灾区，打开你的线上.env文件，重点检查这几个配置：

• SESSION_DRIVER：如果本地用file，线上换成了redis/database，务必确认对应服务（Redis/数据库）配置正确且能正常连接，不然Laravel会 fallback 到默认的会话存储，导致每次请求生成新会话。
• SESSION_DOMAIN：线上必须设为你的实际域名（比如.yourdomain.com，注意前面的点支持子域名），别留空或者用localhost，否则浏览器不会正确存储会话Cookie，服务器每次都会生成新会话和令牌。
• SESSION_SECURE_COOKIE：如果线上是HTTPS环境，必须设为true，否则会话Cookie无法通过HTTPS传输，同样会导致会话丢失。
• SESSION_SAME_SITE：如果涉及跨域请求，可尝试设为None（需配合SESSION_SECURE_COOKIE=true），普通场景设为Lax即可，避免Cookie被浏览器拦截。

2. 强制清除所有缓存（别只清表面） #

你说已经清过缓存，但线上环境容易出现配置缓存残留，执行这一串命令彻底清理：

php artisan config:clear
php artisan cache:clear
php artisan route:clear
php artisan view:clear

另外检查服务器上storage/framework/sessions目录的权限，确保Laravel有读写权限——如果权限不足，会话无法写入，每次请求都会生成新令牌。

3. 多服务器/负载均衡场景必查 #

如果线上用了多台服务器或者负载均衡，必须配置共享会话存储：

• 统一用Redis或数据库作为会话驱动，不能让每台服务器自己存会话，否则用户请求打到不同服务器时，令牌肯定不匹配。
• 确保负载均衡开启了会话粘滞（Sticky Session），或者直接用Redis这种中心化存储彻底解决问题。

4. 前端令牌获取方式要动态 #

别把csrf_token()存在静态变量里！建议在页面头部加meta标签：

<meta name="csrf-token" content="{{ csrf_token() }}">

然后前端每次发起POST请求前，动态获取最新令牌：

const csrfToken = document.querySelector('meta[name="csrf-token"]').content;

确保请求头或请求体里的令牌是实时从页面取的，而不是页面加载时缓存的旧值。

5. 排查会话生命周期与服务器时区 #

• 检查.env里的SESSION_LIFETIME，如果设得太短（比如5分钟），用户页面开着没操作，会话过期后服务器会生成新令牌，前端还在用旧的就会触发异常，可适当调长到60-120分钟。
• 确认APP_TIMEZONE配置正确，服务器时区和本地不一致可能导致会话过期时间计算错误，提前触发会话失效。

如果以上都试过还没解决，建议在请求前后打印会话ID（dd(session()->getId())），看是不是请求过程中会话ID被重新生成了——这能帮你快速定位是会话丢失导致的令牌不匹配，还是其他逻辑问题。

内容的提问来源于stack exchange，提问作者silverFoxA