JhaoDa

В API не может быть сессий. Надо перестать изобретать велосипед и взять, например, Passport.

Если Passport использовать возможности нет, то надо перестать париться из-за запросов в базу.

Если очень хочется нарушить все общепринятые соглашения и использовать сессии, то надо пойти и почитать про них в документации.

В документации я не нашел ничего

Правда?

Upd: в комментариях прояснилось — теоретически, надо зарегать второй mailgun-драйвер в менеджере транспортов и потом подменять инстанс SwiftMailer новым, с этим транспортом.

https://laravel.com/docs/6.x/verification

Во-первых, не «авторизация», а «аутентификация».

Во-вторых, проблема с сессией:
— нет прав на запись в хранилище сессий,
— кривые параметры сессионной куки (не тот домен, например) и кука отклоняется браузером.

Ну или ты ещё где-то накосячил.

Опять сказки про документацию... Какого ещё «общего алгоритма» ты ждёшь? Там чётко написано, что надо предварительно настроить (установить Passport, создать нужного клиента, с типом password, в данном случае), как получить токен (передав логин/пароль) и как его отправить с фронта назад бэку (в заголовке, например). ВСЁ!

К регистрации Passport отношения не имеет.

К ролям Passport отношения так же не имеет, но частично похожее поведение можно реализовать через скоупы.

Так, как написано в документации.

нужна ли модель для pivot table

Если надо, то зачем?

Иногда нужна, чаще всего — нет. На этот вопрос можно ответить только зная задачу.

Все запросы, которые касательно этой таблицы будут ложить в эту модель просто?

Эхехе, «запросы будут ложить»... ну да, будут.

В api.php? Да не, это было бы слишком просто, ты же в него заглянул, не мог не заглянуть. Или мог?

Роуты могут быть описаны где угодно — в конфигах, провайдерах, БД — зависит от задач и фантазии автора.

Создать два разных passport-клиента нужного типа.

P.S. У тебя из вопроса кто-то украл почти все знаки препинания.

Если эти так называемые «безопасники» готовы к диалогу, то объяснить, что никак и не надо паниковать — это, по сути, просто сжатие.

Если не готовы, что часто бывает, то писать свой хэндлер сессий и csrf-токенов.

Гуглить Dependency Injection и Inversion of Control, читать документацию ларавел (не поверишь, там это есть!) и Diving Laravel, изучать код фреймворка.

Например, смотреть на сессионную куку. Есть ли она, с какими свойствами, принимает ли её браузер, отдаёт ли он её назад.