Laravel 5.6中auth:api路由未认证返回400而非预期401问题

看起来你遇到的问题是因为异常处理逻辑没有正确区分认证失败异常和其他通用异常，导致所有JSON请求的错误都统一返回了400状态码。咱们一步步来解决它：

问题根源 #

你的异常处理类（app/Exceptions/Handler.php）里的render方法，在判断请求需要JSON时直接返回了400的通用错误响应，但没有优先处理AuthenticationException（认证失败时抛出的异常）。Laravel默认在未通过auth:api认证时会抛出这个异常，本该返回401，但被你的通用逻辑覆盖了。

解决方案1：重写unauthenticated方法（推荐） #

Laravel的异常处理器专门提供了unauthenticated方法来处理认证失败的情况，你可以直接重写这个方法，针对API请求返回401响应：

首先确保导入AuthenticationException类：

use Illuminate\Auth\AuthenticationException;

然后在Handler类里添加或修改这个方法：

protected function unauthenticated($request, AuthenticationException $exception)
{
    // 如果是API请求（期望JSON响应），返回401
    if ($request->expectsJson()) {
        return response()->json(['errors' => 'Unauthenticated.'], 401);
    }

    // 非API请求走默认的跳转逻辑
    return redirect()->guest(route('login'));
}

这样处理的好处是逻辑分离，专门处理认证失败的场景，不会和其他异常处理冲突。

解决方案2：在render方法中优先处理认证异常 #

如果你不想重写unauthenticated，也可以在render方法里先捕获AuthenticationException，再处理其他异常：

修改后的render方法示例：

use Illuminate\Auth\AuthenticationException;

public function render($request, Exception $e)
{
    // 优先处理认证失败异常
    if ($e instanceof AuthenticationException) {
        if ($request->wantsJson()) {
            return response()->json(['errors' => 'Unauthenticated.'], 401);
        }
    }

    // 处理其他JSON请求的异常
    if ($request->wantsJson()) {
        $response = ['errors' => 'Sorry, something went wrong.'];
        
        // 调试模式下返回详细错误信息
        if (config('app.debug')) {
            $response['message'] = $e->getMessage();
            $response['trace'] = $e->getTrace();
        }
        
        return response()->json($response, 400);
    }

    // 非JSON请求交给父类处理
    return parent::render($request, $e);
}

验证效果 #

现在你再用未认证的请求访问auth:api保护的路由，应该会返回401 Unauthorized的JSON响应，而不是之前的400了。

内容的提问来源于stack exchange，提问作者Michał