laravel-sanctum - 用 Laravel Sanctum 中被盗的 cookie 重新认证

Question

我使用 Laravel Sanctum 设置了 SPA 身份验证，效果很好。我使用用户成功登录。在 Chrome Devtools 中，Application > Storage > Cookies 中，我将 和 的值复制并保存laravel_session到XSRF-TOKEN一个文本文件中，然后注销并删除所有 cookie 并刷新浏览器，在这里我注销了。

然后我重新打开 Devtools，手动恢复 和 的值laravel_session，XSRF-TOKEN刷新浏览器，现在我的状态是已登录。

这是正常的吗？这是基于 cookie 的会话身份验证的工作方式吗？

谢谢你。

Answer 1

我遇到了同样的问题。我的问题是我在 Laravel 的 AuthController 中调用而不是Auth::logout()调用。Auth::guard('web')->logout();

通过使用Auth::guard('web')->logout();cookie 似乎被服务器撤销，不能再用于身份验证。

顺便说一句，我在这里找到了答案：https ://stackoverflow.com/a/63449251/10095327