Все верно, у этих групп маршрутов разные Middleware.
Web-маршруты используют cookies, для них поднимается ларавелевская сессий, для не get-запросов проверяется csfr-токен. Для api-маршрутов всего этого нет.
Исходя из этого ты и принимаешь решения какую группу маршрутов использовать. Нужны куки или старндартная авторизация добавляешь маршрут в веб-группу. Если вообще ничего не надо или используешь авторизацию по токену, то в апи группу.
Всегда думал что api.php нужно для запроса от сторонних приложений, сайтов к твоему сайту для получения какой то информации, которую я хочу предоставить, без авторизации.
Нет, ты и для своих запросов можешь использовать апи-группу маршрутов. И так же там можно сделать авторизацию, просто она будет по другому принципу.
но зачем это делать когда уже всё это есть на web.php?
Потому что есть не только возможность авторизовывать пользователя при помощи кук, но и через токен, который передается при каждом запросе. Бек и фронт вообще может быть разделен на разные сервера и на разные домены.
В итоге вопрос, с точки зрения безопасности, производительности есть преимущества api.php перед web.php
Ни у того ни у другого нет особых преимуществ.