Laravel表单提交报“The page has expired due to inactivity”本质是CSRF token缺失或校验失败，需检查是否漏加@csrf、路由是否在web中间件组、JS是否误删_token字段、本地HTTPS调试问题等。
表单提交报 “The page has expired due to inactivity” 怎么办
这是 Laravel 默认开启 CSRF 防护后最典型的报错，本质不是“过期”，而是请求根本没带有效的 _token 字段，或带了但服务端校验失败。浏览器刷新页面后 token 变了，旧表单再提交就会触发这个提示。
- 检查 form 是否漏了
@csrf或{{ csrf_field() }}—— 这是最常见原因，尤其复制代码时容易删掉 - 确认路由定义在
routes/web.php中（走web中间件组），否则VerifyCsrfToken不生效，反而可能因中间件缺失导致其他问题 - 如果用了 Vue/React 等前端框架嵌入 Laravel 后端模板，注意不要让 JS 框架意外清空或覆盖了隐藏的
_tokeninput - 别用
php artisan serve配合 HTTPS 页面调试 —— 本地开发服务器不支持 HTTPS，SESSION_SECURE_COOKIE设为true会导致 session 写不进 Cookie，间接让 token 校验失败
AJAX 提交 419 错误（CSRF token mismatch）怎么修
419 是 Laravel 对 CSRF 失败返回的 HTTP 状态码，和页面表单错误本质一样，只是发生在异步请求里。关键在于：JS 请求必须主动带上当前有效的 token，不能依赖浏览器自动携带。
- 页面
<head>里加：<meta name="csrf-token" content="{{ csrf_token() }}"> - 全局配置 jQuery（推荐）：
$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } }); - 用 Fetch 时手动加 header：
headers: { 'X-CSRF-TOKEN': document.querySelector('meta[name="csrf-token"]').getAttribute('content') } - 别把 token 存 localStorage 或反复复用 —— 每次页面加载都会生成新 token，存老的等于自废武功
什么时候可以关掉 CSRF 校验？怎么安全地关
CSRF 保护不能随便关，但某些场景确实合理：比如第三方支付回调、Webhook 接收、内部微服务间调用。关的方式不是注释中间件，而是精准排除。
- 编辑
app/Http/Middleware/VerifyCsrfToken.php，往$except数组里加路径，如：'api/webhook/stripe'、'/payment/notify/*' - 路径支持通配符
*，但不支持正则或域名前缀（http://开头的写法已废弃，Laravel 9+ 会忽略） - 绝对不要在中间件
handle()方法里直接return $next($request)—— 这等于全局关掉，风险极大 - 排除路径必须是完整 URI 路径，不含 query string，也不含域名
为什么清缓存、改权限、重生成 key 还是不行
这类操作常被当成“万能解”，但多数时候治标不治本。真正卡住的往往是环境或配置细节。
-
storage/目录无写权限会导致 session 文件无法保存，token 校验必然失败 —— 但错误表现未必是 419，可能是 500 或空白页 -
SESSION_DOMAIN配置错误（比如设成*.example.com却在localhost开发）会让 Cookie 不发送，token 丢失 - 多个 Laravel 应用共用同一 domain 下的 session，
SESSION_PREFIX没区分，互相覆盖 token - 使用 Nginx/Apache 时未正确传递
X-Forwarded-Proto，导致securecookie 判定异常
遇到反复失败，先看 storage/logs/laravel.log 里有没有 TokenMismatchException 的堆栈，比猜更准。真正难排查的，往往藏在 session 配置和反向代理设置里。
