именно при разработке, когда dev фронт висит на localhost:3000, а dev бэк висит на 127.0.0.1:8000 часто нужно поправить config/sanctum.php, удалив упоминание фронта, примерно таким образом:
'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', sprintf(
'%s%s',
'127.0.0.1,127.0.0.1:8000,::1',
Sanctum::currentApplicationUrlWithPort()
))),
или каким-то похожим образом.
при этом на проде все бы работало, потому что прод фронт был бы не в списке stateful доменов (к которым требуется CSRF токен)