PHP项目Laravel Sanctum vs Passport

本文目录导读：

1. 核心定位与适用场景
2. 认证机制差异（重中之重）
3. 复杂程度与维护成本
4. 安全性对比
5. 选型决策建议（直接给结论）
6. 补充说明（重要）
7. 最终总结（一句话）

在 Laravel 项目中，Sanctum 和 Passport 是两种主流的 API 认证方案，它们各有侧重，选择哪一个，完全取决于你的项目类型和应用场景。

以下是从多个维度进行的详细对比和选型建议：

核心定位与适用场景

认证机制差异（重中之重）

这是两者最大的区别：

• Passport（标准 OAuth 2.0）：

  • 通过 授权码（Authorization Code） 或 密码授权（Password Grant） 获取 access_token，并配套 refresh_token（刷新令牌）。
  • 令牌有过期时间,需要刷新机制。
  • 支持作用域（Scopes/权限范围），非常完善,适合大型复杂系统。

• Sanctum（个人访问令牌 / SPA Cookie）：

  • 模式一（SPA）：基于 Cookie 的 Session 认证，利用了 Laravel 内置的 Session 中间件，自动处理 CSRF 防护，无需每次发送 Bearer Token。
  • 模式二（移动端）：基于个人访问令牌（Personal Access Token），这个令牌是长期有效的（除非手动吊销），永远不会过期,它仅仅是存储在数据库中的一段随机哈希字符串。

复杂程度与维护成本

安全性对比

• Passport：因为支持刷新令牌，如果长期令牌泄露，风险较大；但标准 OAuth 允许在服务端强制令牌失效和刷新,安全性较高。
• Sanctum：
  • 对于 SPA：安全性极高，因为依赖 Session + Cookie，浏览器自动处理，且易受 CSRF 保护。
  • 对于 移动端：令牌是永久的，如果令牌泄露，除非你在数据库中手动删除该条记录，否则攻击者可以永久使用。风险较高。

选型决策建议（直接给结论）

补充说明（重要）

• 新项目默认选 Sanctum：Laravel 官方文档已经将 Sanctum 列为默认的 API 认证方案（甚至在新版 Laravel 中，laravel/ui 已不再内置 Passport）。
• Passport 的“密码授权”模式：如果你们内部开发封闭 App，且不想用户跳转网页授权，Passport 也支持密码授权，但它的令牌仍然有过期时间,需要处理刷新逻辑。
• 两者混合使用：在实际项目中，你可以让 Sanctum 负责内部 SPA 认证，同时使用 Passport 向外部开放 API，虽然这会让系统复杂,但在大型企业中常见。

最终总结（一句话）

如果你只想快速实现“用户接口鉴权”，选 Sanctum； 如果你在做“开放平台”或需要“OAuth 2.0 标准流程”，选 Passport。

在 Laravel 10/11/12 时代，默认优先考虑 Sanctum，只有当你明确需要 OAuth 2.0 特性时才切换到 Passport。