Laravel Sanctum通过个人访问令牌实现移动端API认证，需安装并发布配置后迁移数据表，在User模型引入HasApiTokens；登录时验证用户并调用createToken生成明文令牌返回；移动端后续请求在Authorization头携带Bearer令牌，由auth:sanctum中间件认证；建议为设备独立生成令牌、提供登出删除接口、定期清理无效令牌并可扩展有效期管理，适用于轻量级移动应用对接。
Laravel Sanctum 为移动 App 提供了一种轻量级的 API 认证机制，适合用于原生或跨平台移动端应用。它通过生成持久化的个人访问令牌（Personal Access Tokens）实现用户认证，而不是依赖传统的 session 机制。以下是具体实现方式。
启用 Sanctum 并配置移动端认证
安装 Sanctum 后，需正确配置以支持移动端请求：
- 使用 Composer 安装 Sanctum：composer require laravel/sanctum
- 发布配置和迁移文件：php artisan vendor:publish --provider="Laravel\Sanctum\SanctumServiceProvider"
- 运行迁移命令创建数据表：php artisan migrate
- 在 User 模型中引入 HasApiTokens trait
确保 config/sanctum.php 中的 stateful 配置为空或不包含移动端域名，因为移动端通常使用无状态认证。
为移动 App 创建 API 令牌
移动端用户登录后，服务器应生成一个令牌返回给客户端：
- 创建登录接口，验证用户名和密码
- 验证成功后，调用用户的 createToken 方法生成令牌
- 返回令牌的明文字符串给 App，用于后续请求头中的认证
$user = User::where('email', $request->email)->first();
if ($user && Hash::check($request->password, $user->password)) {
$token = $user->createToken('mobile-token')->plainTextToken;
return response()->json(['token' => $token]);
}
移动端请求中使用令牌
App 在后续请求中需携带该令牌到请求头：
- 设置请求头 Authorization: Bearer [token]
- Laravel Sanctum 会自动解析此令牌并认证用户
- 注意：Sanctum 的 Bearer 令牌实际存储在数据库中，明文仅在创建时暴露一次
确保中间件 auth:sanctum 应用于需要保护的路由。
安全与令牌管理建议
为提升安全性，建议：
- 为不同设备生成独立令牌，便于单独撤销
- 提供登出接口，调用 $user->currentAccessToken()->delete()
- 定期清理过期或未使用的令牌
- 考虑设置令牌有效期（Sanctum 默认长期有效，可自行扩展）
基本上就这些。Sanctum 简单易用，特别适合移动端与 Laravel 后端对接的场景。关键是生成令牌、安全传输、合理管理生命周期。
