Sanctum, авторизация на основе сессии, как сделать для двух разных доменов?

Question

[amigo567]

Фронт: local.cars.com:8080 (VUE spa)
Бек: https://api.cars.test (laravel api)

Возможно ли использовать встроенный в php механизм авторизации (на основании сессии)?
Уже много месяцев не могу разобраться с sanctum и авторизицией в целом, как бек и фронт должны взаимодействовать друг с другом (прошу не отправлять видео, статьи, оффициальную документацию - не помогают, нейронные сети тоже не могут нормально объяснить и выдать рабочий пример).

Ведь должно быть всё просто:
1) Отправляем на сервер (POST https://api.cars.test/login)
2) Бек смотрит, есть ли этот домен "local.cars.com:8080" в списке разрешённых
3) Если нет его в списке, то возвращает ошибку
4) Иначе ларавел проверяет полученную пару логин-пароль, при успехе - создаёт файл (сессиию) на жёстком диске (кладёт туда разные данные, логин, пароль, ещё может что-то), шифрует ключ (зачем?, ключ сессии = название файла?) и отправляет этот ключ обратно клиенту (с заголовком setcookie? эта информация нужна для браузера?)
5) Браузер устанавливает куку
6) При каждом последующем запросе бразуер автоматически отправляет эту куку серверу (не нужно самостоятельно принимать куку и сохранять её где-то наподобии localstorage?)
7) Сервер шифрует полученный ключ=куку, ищет шифрованную версию в папке sessions, если нашёл что-то, то продолжает обработку запроса?

А вот есть ещё токены, которые хранятся в таблице (в БД), их тоже можно отправить клиенту с заголовком setcookie? чтобы не возиться с локальным хранением этого ключа (он ведь ещё и не должен сбрасываться после рефреша страницы) и потом автоматически отправлялся при каждом последующем запросе (отправке запроса на сервер).

P.S. где найти реализацию метода Auth::guard('web')->login($user); здесь используется файл сессии?

Если для вышеперечисленных доменов я хочу использовать файл сессии, то какие middleware должны быть (все маршруты в api.php объявлены)?

spoiler

protected $middlewareGroups = [
        'web' => [
            \App\Http\Middleware\EncryptCookies::class,
            \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
            \Illuminate\Session\Middleware\StartSession::class,
            \Illuminate\View\Middleware\ShareErrorsFromSession::class,
           \App\Http\Middleware\VerifyCsrfToken::class,
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

        'api' => [
            \Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class,
            \Illuminate\Session\Middleware\StartSession::class,
            \Illuminate\Routing\Middleware\ThrottleRequests::class.':api',
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
            \App\Http\Middleware\VerifyCsrfToken::class,
        ],
    ];

Comments

[Дмитрий]

Вообще то ларавел не спроста выпилил куки из роутов апи. Потому что типа api должно быть RESTful, а следовательно какие к черту сессии?
Однако ж, в самих названиях миддлваре хорошо написано что они делают, и наверное если вы их прочтете, может это как то подскажет вам что надо? Не говоря о том что можно открыть код миддлваре и посмотреть что он делает. Это будет на порядок лучше чем мучать нейронку.

[amigo567]

Дмитрий, Да, есть разные миддлваре, но как понять что и где должно быть + где-то читал (уже не помню где), что ещё в web.php должно быть что-то, но почему, если используем api.php

EnsureFrontendRequestsAreStateful судя по названию, должен сохранять некое состояние/как-то запоминать и определять кто присылает запросы.
Нужен ли тогда StartSession::class
А VerifyCsrfToken::class тогда зачем
или csrf токен и авторизация это не связанные вещи и эти миддлваре решают разные проблемы?

2) В документации вообще сказано, что должен быть один и тот же top-level домен (это же com, org и т.д.?)
ларавел сайт

Почему так? просто особенность реализации или почему нельзя просто сказать бекенду, например, https://siteA.com что фронт abc.test нормальный и ему можно доверять и с ним можно работать?

[amigo567]

У меня есть фронт на
local.cars.com:8080 (не знаю как сделать нормальный https и избавиться от порта (может кто знает, использую laravel herd на windows 11)
и бекенд на https://api.cars.test (порта нет (значит по умолчанию 443?), это делает herd автоматически, а как vue приложение изменить не понятно)

Пытаюсь их подружить, и вечно какие-то ошибка
session driver разный ставил, sanctum stateful domain разные писал, session domain разный писал, cors.php, session.php, все возможные варианты перепробовал (allowed_origins звездочка = все домены, lax, none, httponly true/false, SESSION_SECURE_COOKIE = false/true), почему-то оффициальная инструкция совсем не помогает, мало написано и много вещей не разобрали.

login() просто проверка логина и пароля и затем:
Auth::guard('web')->login($user);
sanctum.php: 'guard' => ['web'],
'middleware' => [
'verify_csrf_token' => App\Http\Middleware\VerifyCsrfToken::class,
'encrypt_cookies' => App\Http\Middleware\EncryptCookies::class,
],

vue:

async login(data) {
        await this.fetchCSRFToken();
        await axios.post('https://api.cars.test/login', data);
        await axios.get('https://api.cars.test/profile', data);
    },
    async fetchCSRFToken() {
      try {
        await axios.get('https://api.cars.test/sanctum/csrf-cookie');
      } catch (error) {
        console.error(error);
      }
    },

[Дмитрий]

amigo567,
1. Понять где что должно быть можете только вы - ибо только вы знаете что вы хотите от той или иной группы роутов
2. Открываете код EnsureFrontendRequestsAreStateful и смотрите что он делает.
3. Если вам нужны сессии то StartSession нужен.
4. VerifyCsrfToken если вам нужна защита от CSRF
5. Нет. CSRF это защита от CSRF, а авторизация, это авторизация
6. Потому что надо настраивать CORS.
7. Создание самоподписанного сертификата
8. Писать надо конкретно что за ошибка - иначе все положат на вас болт, играть в шоу телепатов желающих нет, с конкретной ошибкой вам помогут, а с борьбой с всей несправедливостью всего мира - нет.

session driver разный ставил, sanctum stateful domain разные писал, session domain разный писал, cors.php, session.php, все возможные варианты перепробовал (allowed_origins звездочка = все домены, lax, none, httponly true/false, SESSION_SECURE_COOKIE = false/true), почему-то оффициальная инструкция совсем не помогает, мало написано и много вещей не разобрали.

Ну и самое главное. Прекращайте играть в тысячу обезьянок пытающихся напечатать поэму Шекспира. Если что то не работает - надо понять что не работает, почему не работает - и ТОЛЬКО ПОСЛЕ ЭТОГО, решать проблему. В ином случае - на первом же серьезном проекте, как только вас поймают за подходом "случайным образом что то менять, в надежде что это заработает" - вам сначала сломают руки, что бы вы так не делали, а потом для верности и ноги что бы вы не приходили.