Laravel Sanctum 是 Laravel 提供的一种轻量级 API 认证机制，特别适合用于前后端分离项目中的用户登录与状态管理。它通过为用户发放 API Token 的方式实现认证，也可以结合 SPA（单页应用）的会话机制来保护路由。下面介绍如何使用 Laravel Sanctum 实现前后端分离的认证流程。

1. 安装和配置 Sanctum

在 Laravel 项目中安装 Sanctum 非常简单：

• 运行命令：composer require laravel/sanctum
• 发布迁移文件：php artisan vendor:publish --provider="Laravel\Sanctum\SanctumServiceProvider"
• 执行迁移：php artisan migrate

完成后，Sanctum 会在数据库中创建 personal_access_tokens 表，用于存储用户生成的 Token。

在 app/Http/Kernel.php 中，确保 EnsureFrontendRequestsAreStateful 中间件已注册在 api 组中，它允许来自前端域名的请求保持会话状态（适用于 SPA 场景）。

2. 启用模型 Token 支持

默认情况下，User 模型需要使用 HasApiTokens trait 来支持 Sanctum 的 token 认证：

use Laravel\Sanctum\HasApiTokens;

class User extends Authenticatable
{
    use HasApiTokens;
}

这样该模型就可以生成和管理 API Token。

3. 配置认证守卫

打开 config/auth.php，确认 API 认证守卫使用的是 Sanctum：

'guards' => [
    'api' => [
        'driver' => 'sanctum',
        'provider' => 'users',
    ],
],

这表示所有带 token 的 API 请求将由 Sanctum 处理。

4. 登录接口：生成 Token

创建一个登录接口，验证用户后返回登录状态或 Token。例如在控制器中：

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;

public function login(Request $request)
{
    $credentials = $request->only('email', 'password');

    if (Auth::attempt($credentials)) {
        $user = Auth::user();
        $token = $user->createToken('api-token')->plainTextToken;
        
        return response()->json([
            'message' => '登录成功',
            'token' => $token,
            'user' => $user
        ]);
    }

    return response()->json(['message' => '账号或密码错误'], 401);
}

前端拿到 token 后，在后续请求的 Authorization 头中携带：

Bearer 1|xyz...

5. 保护 API 路由

在 routes/api.php 中使用 sanctum.auth 中间件保护需要认证的接口：

Route::middleware('auth:sanctum')->get('/user', function (Request $request) {
    return $request->user();
});

只有携带有效 Token 的请求才能访问这些接口。

6. 退出登录：注销 Token

用户退出时，可以销毁当前使用的 Token：

public function logout(Request $request)
{
    $request->user()->currentAccessToken()->delete();

    return response()->json(['message' => '已退出']);
}

如果想删除所有 Token，可调用：$request->user()->tokens()->delete();

7. 前端配合建议

• 登录成功后，前端将 Token 存入内存或 localStorage，并在每次请求头中添加 Authorization: Bearer [token]
• 推荐使用 Axios 设置默认 header：
  axios.defaults.headers.common['Authorization'] = 'Bearer ' + token;
• 遇到 401 错误时跳转到登录页

基本上就这些。Laravel Sanctum 简洁高效，特别适合 Vue/React + Laravel 的前后端分离项目。它既支持无状态 Token 认证，也能配合 Session 实现更安全的 SPA 登录体验。