圣殿温泉认证-网络。php vs api。php

Question

我正在使用Sanctum进行SPA认证。在我看到的几个例子中，人们在web中创建身份验证路由（登录、注销、注册）。php路由文件，而不是api。php路由文件。这有什么原因吗？在文档中，我确实看到这里提到。。。

您可能想知道为什么我们建议您使用密室防护来验证应用程序的路由/web.php文件中的路由。请记住，Sanctum将首先尝试使用Laravel的典型会话身份验证cookie对传入请求进行身份验证。如果该cookie不存在，则Sanctum将尝试使用请求授权标头中的令牌对请求进行身份验证。此外，使用Sanctum对所有请求进行身份验证可以确保我们始终可以在当前经过身份验证的用户实例上调用TokenCan方法

...但这是针对API令牌认证，而不是直接在SPA认证下。

是否有任何理由可以在web中更好地处理我的身份验证路由。php？

Answer 1

在典型的Laravel应用程序中，您的API路由是无状态的，不会持久化会话；具体来说，他们没有启动会话中间件。

因此，如果将这些路由放在API文件中，则基于cookie的身份验证将不起作用。

在web文件中包含这些路由允许将这些特定路由包装在会话中，允许基于cookie的身份验证，然后在需要时返回到使用无状态授权头。

我忘了确切的单词，但是Taylor非常喜欢SPA使用基于cookie的身份验证，因为它们是API令牌上的同一个域。

但这应该可以解释原因。当然，如果你愿意，欢迎你改变这一点。