Andreo

$mcount = preg_match_all('~\<p class=\"number\"\>([0-9]+)\<\/p~is', $str, $matches);
if (count($mcount) > 0)) {
  print_r($matches[1]);
}

1. Это не просто объект. А объект класса какого вы должны найти в доке.
2. Найдя, то что возвращает get() можно с легкостью, подобной щелчку пальцев одной руки, преобразовать все массив, а второй руки - в массив с нужной структурой.

Не используйте в одном методе кучу функционала. Каждый метод должен делать строго определенную функцию и возвращать значение строго определенного типа иначе будут всплывать неожиданности при обработке таких "универсальных функций".
Для вывода одной записи и списка используйте отдельные методы.
Для именования методов поглядывайте на стандарты, но не заморачивайтесь - без фанатизма. Главное в наименовании переменных и функций было понятно что это такое, желательно соблюдать синтаксис английской мовы, и обязательно следовали единому правилу именования внутри проекта.

$last_message = Chat::where('user_id', $user_id)
    ->where('friend_id', $friend_id')
    ->orderBy('id', 'desc')
    ->first()
    ->chat;

git add .

Перед показом проверяйте наличие куки. Если их нет то устанавливаем и показываем что вам там надо...

if(!$.cookie('checker')) {
    $.cookie('checker', 1, {
        expires: 30
    });
    $(blockId).animate({height: 'show'}, 500);
}

Для блока .personal-data-warning в css устанавливаем свойство display: none

Отакое:
google-chrome --allow-file-access-from-files

3. Лочить кнопку на фронте, которая отправляет ваши данные по хуку, через JavaScript
4. В дополнение к п.3 - хоть и не обязательно, но можно использовать токен в форме, который инвалидируется после вашего запроса (CSRF)

Нужны подробности того как вы авторизируете юзера через API, потому что есть подозрение что вы при это авторизации не отдаете авторизационный токен или не используете его при запросах на защищенные узлы.
И, да. CSRF не работает в API-запросах, так как для хранения проверочного токена используются сессии, которые, в свою очередь, не используются в API.

Попробуй так:

Route::group( ['middleware' => ['web'] ], function () {
    Route::group(['prefix' => 'user'], function () {
        Route::get('/login', 'HomeController@login')->name('login');
        Route::group(['middleware' => ['auth']], function(){
            Route::get('/home', 'HomeController@index')->name('home');
            Route::get('/logout', 'HomeController@logout')->name('logout');
        });
    });
});

Значит такие строки надо в БД хранить

Поставьте обратный слеш в конце строки

Скорее всего тебе изначально через CCS именно эти картинки нужно скрывать. А после манипуляций с атрибутами и перед вызовом плагина, установить элементы этих изображений в display:block
$('.content img').css('display', 'block');