laravel 应用部署到线上服务器后出现“page expired”错误（无论登录凭据正确与否），通常并非代码或配置问题，而是服务器层面拦截了 post 请求，导致 csrf 验证失败、表单提交中断。
在 Laravel 中，“Page Expired”页面（HTTP 419 status）本质上是 CSRF Token 验证失败 的默认响应。它会在以下任一情况触发：
- 表单未携带有效的 @csrf 隐藏字段；
- Session 未正常启动或丢失（如 session 文件不可写、域名不匹配）；
- 请求被中间件（如 VerifyCsrfToken）提前终止；
- 最关键但常被忽视的一点：服务器/防火墙/CDN/安全模块（如 ModSecurity、Cloudflare WAF、cPanel 网络防护）主动拦截或静默丢弃了 POST 请求。
从你提供的 .env 文件可见，SESSION_DRIVER=file 是合法配置，且 APP_DEBUG=true 已开启，理论上应输出详细错误而非仅“Page Expired”。而问题同时出现在登录（POST /login）和注册（POST /register）——二者均为标准 Laravel 路由，共享同一套 CSRF 和 Session 流程。这强烈指向请求根本未抵达 Laravel 应用层。
? 排查关键线索：
- 本地运行正常 → 排除代码逻辑与 .env 语法错误；
- 所有 POST 行为均失败（登录、注册、密码修改等）→ 非路由或控制器问题，而是网络/服务器层统一拦截；
- APP_ENV=local 在生产环境应改为 production（虽非直接原因，但属安全规范）；
- SESSION_DOMAIN=test.com 与 APP_URL=http://test.net 域名不一致 → 可能导致 Cookie 跨域失效，但通常表现为登录后无法保持会话，而非 419 错误；建议统一为实际访问域名（如 APP_URL=https://test.com，SESSION_DOMAIN=.test.com，注意开头的点表示子域通配）。
✅ 正确解决路径（按优先级排序）：
联系主机提供商确认是否启用 Web 应用防火墙（WAF）或 ModSecurity 规则
这是最常见的元凶。某些共享主机（如 cPanel + Imunify360、SiteGround、GoDaddy 托管）默认启用严格 POST 过滤规则（如 981073, 981243, 981245 等 ModSecurity CRS 规则），会拦截含 application/x-www-form-urlencoded 或无明确 User-Agent 的表单提交。解决方案：临时禁用 WAF 或添加白名单规则。检查服务器日志（非 Laravel 日志）
查看 Apache 的 error_log 或 Nginx 的 error.log，搜索 419, ModSecurity, rejected, blocked, POST 等关键词。若发现类似 ModSecurity: Access denied with code 403，即证实拦截。-
验证 POST 是否真正到达 Laravel
在 app/Http/Middleware/VerifyCsrfToken.php 的 handle() 方法开头添加临时日志：\Log::info('CSRF Middleware reached. Method: ' . $request->method() . ', URL: ' . $request->fullUrl());若该日志从未写入，说明请求在进入 Laravel 前已被拦截。
-
基础服务检查（辅助验证）
- 确保 storage/framework/sessions/ 目录可写（chmod -R 755 storage/）；
- 检查 PHP session.save_path 是否有效（php -i | grep session.save_path）；
- 清除浏览器缓存及 Cookie，避免旧 session 冲突；
- 使用 curl -X POST -d "email=test@test.com&password=123" https://test.com/login 测试，观察响应头与 body。
⚠️ 注意事项：
- 不要盲目修改 VerifyCsrfToken 的 $except 数组来绕过验证——这会彻底破坏应用安全性；
- 避免将 SESSION_DRIVER 切换为 database 或 redis 作为“解决方案”，除非已确认文件驱动确实失效（如磁盘满、权限错误），否则只是掩盖根本问题；
- APP_ENV=local 在生产环境必须改为 production，否则可能暴露敏感信息并影响缓存行为。
? 总结：当 Laravel 全站 POST 表单统一返回 “Page Expired”，且本地正常、线上所有 POST 均失败时，请优先将排查焦点从代码转向基础设施——90% 以上案例源于托管服务商的 WAF/ModSecurity 主动拦截。与技术支持沟通时，明确提供请求 URL、HTTP 方法（POST）、复现步骤及服务器环境（如 cPanel/CloudLinux/Nginx 版本），可大幅缩短排障时间。
