Laravel Token首次请求有效、后续请求失效问题排查

看起来你遇到的是**Cookie-based API认证（CreateFreshApiToken中间件）**和Axios请求上下文之间的典型冲突问题，我来一步步拆解原因和解决方案：

为什么会出现这个问题？ #

首先得搞清楚CreateFreshApiToken中间件的作用：它属于Laravel Passport的Cookie认证机制，会在每个web中间件组的响应里，生成一个和当前laravel_session绑定的加密JWT令牌（存在laravel_token Cookie里）。服务器验证请求时，会同时校验laravel_session和laravel_token的一致性。

你遇到的情况：

1. 首次请求正常：此时session和token是匹配的，验证通过。
2. 后续搜索请求带auth:api中间件时失败：因为每次响应都会生成新的laravel_token，Axios默认会自动携带最新的Cookie，但服务器端可能因为session上下文未同步（比如session存储延迟、请求并发导致的session状态不一致），导致新token和当前session不匹配，被auth:api中间件拒绝。
3. 移除中间件后出现419错误：419是CSRF令牌不匹配，因为CreateFreshApiToken中间件会自动处理API请求的CSRF校验逻辑，移除后你的Axios请求没有正确携带CSRF令牌，触发了Laravel的CSRF防护。

解决方案 #

方案1：修复Cookie认证的配置，让Axios和服务器端保持一致 #

如果想继续使用Cookie-based认证，需要确保Axios的请求配置正确，同时避免token和session的不匹配问题：

1. 正确配置Axios的全局请求头
   在Vue项目的入口文件（比如main.js）里添加以下配置，确保Cookie和CSRF令牌被正确携带：

   import axios from 'axios'
   
   // 告诉服务器这是AJAX请求
   axios.defaults.headers.common['X-Requested-With'] = 'XMLHttpRequest'
   // 允许携带Cookie（关键，确保laravel_session被传递）
   axios.defaults.withCredentials = true
   
   // 从页面meta标签获取CSRF令牌并设置
   const csrfToken = document.head.querySelector('meta[name="csrf-token"]')?.content
   if (csrfToken) {
       axios.defaults.headers.common['X-CSRF-TOKEN'] = csrfToken
   }
   

2. 调整Session和Passport的配置

   • 检查.env里的SESSION_DRIVER：如果用file驱动，确保storage/framework/sessions目录有读写权限；如果用redis，确认Redis服务正常运行。
   • 确保SESSION_LIFETIME不要设置过短，避免session提前过期导致token失效。
   • 确认你的API路由使用web中间件组（因为CreateFreshApiToken属于web中间件），或者在api中间件组里手动添加CreateFreshApiToken中间件（不推荐，因为api组默认是无状态的）。

方案2：改用无状态的Bearer Token认证（更适合前后端分离场景） #

如果你的项目是前后端分离架构，推荐放弃Cookie-based认证，改用Passport的Personal Access Token或Password Grant Token，彻底避免session和CSRF的问题：

1. 生成并存储访问令牌
   用户登录时，通过后端接口获取Bearer Token（比如用Password Grant模式），将token存储在Vue项目的localStorage或sessionStorage里：

   // 登录请求示例
   axios.post('/login', { email: 'xxx@xxx.com', password: 'xxx' })
     .then(res => {
         localStorage.setItem('access_token', res.data.access_token)
     })
   

2. 配置Axios全局携带Bearer Token
   在入口文件里设置Axios的默认授权头：

   import axios from 'axios'
   
   axios.defaults.headers.common['Authorization'] = `Bearer ${localStorage.getItem('access_token')}`
   axios.defaults.headers.common['X-Requested-With'] = 'XMLHttpRequest'
   

3. 更新API路由
   确保你的API路由使用auth:api中间件，此时验证逻辑会基于Bearer Token，不再依赖session和Cookie。

总结 #

你的问题核心是Cookie认证机制的状态依赖和Axios自动更新Cookie之间的冲突，加上移除中间件后CSRF防护的触发。根据你的项目架构选择对应的方案：如果是传统服务端渲染+Vue混合，用方案1；如果是纯前后端分离，方案2更稳定。

内容的提问来源于stack exchange，提问作者Alex