Laravel 表单提交报 419 错误是因为 CSRF 中间件校验失败，根本原因是请求未携带或携带了无效的 _token：如 @csrf 指令缺失、页面缓存导致 token 过期、AJAX 未正确设置 X-CSRF-TOKEN 请求头、session 存储异常或跨域/SameSite Cookie 配置不当。
默认开启，无需额外设置；但表单提交、AJAX 请求必须携带有效 _token，否则 419 错误是必然结果。
为什么提交表单会报 419 PAGE EXPIRED？
这是 Laravel CSRF 中间件拦截失败请求后的标准响应，不是配置没生效，而是请求压根没带或带了无效的 token。
-
csrf_token()函数生成的值未被正确插入到表单的_token隐藏字段中 - 页面缓存了旧的 HTML（含过期
_token），用户提交时用的是已失效的令牌 - 使用 AJAX 时没把
X-CSRF-TOKEN放进请求头，或没从meta[name="csrf-token"]读取最新值 - Session 驱动异常（如文件权限问题、Redis 连接失败）导致 token 无法写入或读取
如何在 Blade 表单中正确嵌入 CSRF token？
别手写 <input type="hidden" name="_token" value="{{ csrf_token() }}"> —— 虽然能用，但易遗漏、难维护。直接用 Laravel 内置指令更稳妥：
- 所有普通表单开头加
@csrf：它会自动输出<input type="hidden" name="_token" value="..."> - 如果用了
@method('PUT')或@method('DELETE')，@csrf仍需单独写，二者不合并 - 不要在同一个表单里混用
@csrf和手动csrf_token()，避免重复字段引发验证失败
Laravel AJAX 请求怎么传 CSRF token？
关键不是“怎么传”，而是“怎么确保每次都是最新的”。Laravel 默认会在 <head> 插入：
<meta name="csrf-token" content="{{ csrf_token() }}">
然后在 JS 初始化阶段统一设置 Axios 或 jQuery 的默认头：
- Axios：
axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').getAttribute('content'); - jQuery：
$.ajaxSetup({ headers: { 'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content') } }); - 注意：若页面动态加载（如 Turbo/HTMX），需监听 DOM 更新后重新读取
meta值，否则 token 会 stale
哪些请求路径默认豁免 CSRF 验证？
查看 app/Http/Middleware/VerifyCsrfToken.php 中的 $except 数组。常见误操作是盲目添加 API 路由，比如：
-
'api/*'豁免后，所有/api/xxx都跳过验证 —— 这很危险，尤其当 API 同时支持 Cookie 认证时 - 真正该豁免的，仅限明确不依赖 Session 的无状态端点（如 Webhook 回调地址），且应使用独立签名机制
- RESTful API 建议改用 token-based 认证（如 Sanctum 的 API tokens），而非关闭 CSRF 防护
CSRF 防御最常出问题的地方不在配置开关，而在 token 生命周期管理 —— 页面渲染时生成的 token 和提交时校验的 token 必须来自同一 session，中间任何环节断开（比如多标签页并发刷新、Nginx 缓存了 HTML、Vite HMR 注入干扰）都会让验证静默失败。
