如何从access_token解析用户？Laravel后端与Vue SPA架构认证疑问

嘿，我碰到过类似的前后端分离认证坑，结合你的场景——Vue SPA已经通过Password Grant成功拿到token，但后续请求还是遇到认证问题，给你几个实用的排查和解决思路：

1. 先确认Axios是否自动携带Token #

登录成功拿到access_token后，你得把它存在前端（比如localStorage），然后给Axios加个全局拦截器，让所有后续API请求自动带上Authorization请求头，这是最容易漏的点：

// 登录成功后存储token
localStorage.setItem('access_token', response.data.access_token);

// 全局配置Axios，自动注入token
axios.interceptors.request.use(
  config => {
    const token = localStorage.getItem('access_token');
    if (token) {
      // 注意是Bearer + 空格 + token
      config.headers.Authorization = `Bearer ${token}`;
    }
    return config;
  },
  error => Promise.reject(error)
);

2. 检查跨域（CORS）配置是否到位 #

因为前后端是两台独立服务器，浏览器会拦截跨域请求，必须在Laravel后端正确配置CORS，允许携带自定义请求头（比如Authorization）：

如果你用的是barryvdh/laravel-cors包，修改config/cors.php：

return [
    'paths' => ['api/*', 'oauth/*'], // 要包含oauth的端点
    'allowed_methods' => ['*'],
    'allowed_origins' => ['http://你的Vue服务器域名'], // 别用*，生产环境指定具体域名
    'allowed_headers' => ['*'],
    'supports_credentials' => true,
];

3. 验证Password Grant客户端的配置 #

确保你在Laravel里正确创建了Password Grant客户端：

• 执行过php artisan passport:client --password命令
• 前端请求里的client_id、client_secret和后端.env文件里的完全一致
• 你的User模型已经引入了HasApiTokens trait：

use Laravel\Passport\HasApiTokens;

class User extends Authenticatable
{
    use HasApiTokens, Notifiable;
    // ... 其他代码
}

4. 处理Token过期的情况 #

Password Grant的token默认1小时就过期，你可以在前端加个响应拦截器，捕获401（未授权）状态码，清除过期token并跳回登录页：

axios.interceptors.response.use(
  response => response,
  error => {
    if (error.response?.status === 401) {
      localStorage.removeItem('access_token');
      window.location.href = '/login';
    }
    return Promise.reject(error);
  }
);

5. 确认API路由的中间件 #

最后检查你的Laravel API路由，是否使用了auth:api中间件来保护需要认证的接口：

Route::middleware('auth:api')->group(function () {
    // 这里放需要用户登录才能访问的API路由
});

如果还有具体的错误提示（比如浏览器控制台的报错、Laravel日志里的信息），可以补充出来，能更快定位问题~

内容的提问来源于stack exchange，提问作者Chris