Sanctum 和 Postman 的 SPA 身份验证问题

Question

我目前正在尝试使用 Laravel 8.19.0 和 Postman 7.36.1 测试 SPA，但我不断从受“auth:sanctum”保护的路由收到“未经身份验证”的响应，即使我已正确登录。

据我所知，我完全按照https://laravel.com/docs/8.x/sanctum上的文档进行操作 ，以便将 Sanctum 设置为用于 SPA，因此我做了以下操作：

• 安装了圣域。
• 发布了圣所配置。
• 执行了迁移。
• 包括 EnsureFrontendRequestsAreStateful 中间件和EnsureFrontendRequestsAreStateful::classHttp Kernal 的“ ”。
• 将我的本地域（相同的顶级域，但 1 个带有“test”子域，另一个带有“api”）添加到 Sanctum 配置文件中的“有状态域”选项中。
• 将 cors 配置中的“supports_credentials”选项设置为“true”。
• 设置我的顶级域名，前缀为“.” 对于会话配置中的“域”选项。

然后，我使用https://blog.codecourse.com/laravel-sanctum-airlock-with-postman/上的指南设置了 Postman，因此我编写了一个脚本来从“ /sanctum/csrf” 获取 CSRF 令牌-cookie ”然后使用所述令牌作为请求标头中“X-XSRF-TOKEN”的值，我可以成功登录。但是，当我随后尝试访问由“auth:sanctum”守卫保护的路由时，即使在请求标头中设置了引用者和“X-XSRF-TOKEN”，我也无法访问该路由。

调试后，我可以看到第 63 行的\vendor\laravel\framework\src\Illuminate\Auth\Middleware\Authenticate.php中的方法$this->auth->guard($guard)->check()返回 false ，因为Illuminate\Auth\RequestGuard为 nullauthenticate($request, array $guards)$guard = "sanctum"$this->user()。

任何有关要检查的事情的帮助甚至想法都将不胜感激，因为我不确定从这里做什么，缺少花一天时间深入研究请求保护对象及其实例化！

谢谢。

Answer 1

很多人在使用带有 Sanctum SPA 身份验证的 Postman 时遇到的问题是，您只需向请求添加一个额外的标头，这可以是“Referrer”或“Origin”，并且该值必须与在 Sanctum 中设置的域相匹配。 php 配置文件。例如 localhost 或 mysite.test 等。

fromFrontEnd()方法中的vendor/laravel/sanctum/src/Http/Middleware/EnsureFrontendRequestsAreStatefull.php是您可以看到此要求的地方。Laravel V8.x，我也相信 Laravel V7.x