laravel 应用部署到线上服务器后出现“page expired”错误（无论登录凭据正确与否），通常并非代码或配置问题，而是服务器层面拦截了 post 请求，导致 csrf 验证失败、表单提交中断。
在 Laravel 中，“Page Expired”页面（HTTP 419 status）本质上是 CSRF Token 验证失败 的默认响应。它会在以下任一情况触发：
- 表单未携带有效的 @csrf 隐藏字段；
- Session 未正常启动或丢失（如 session 文件不可写、域名不匹配）；
- 请求被中间件（如 VerifyCsrfToken）提前终止；
- 最关键但常被忽视的一点：服务器/防火墙/CDN/安全模块（如 ModSecurity、Cloudflare WAF、cPanel 网络防护）主动拦截或静默丢弃了 POST 请求。
从你提供的 .env 文件可见，SESSION_DRIVER=file 是合法配置，且 APP_DEBUG=true 已开启，理论上应输出详细错误而非仅“Page Expired”。而问题同时出现在登录（POST /login）和注册（POST /register）——二者均为标准 Laravel 路由，共享同一套 CSRF 和 Session 流程。这强烈指向请求根本未抵达 Laravel 应用层。
? 排查关键线索：
- 本地运行正常 → 排除代码逻辑与 .env 语法错误；
- 所有 POST 行为均失败（登录、注册、密码修改等）→ 非路由或控制器问题，而是网络/服务器层统一拦截；
- APP_ENV=local 在生产环境应改为 production（虽非直接原因，但属安全规范）；
- SESSION_DOMAIN=test.com 与 APP_URL=http://test.net 域名不一致 → 可能导致 Cookie 跨域失效，但通常表现为登录后无法保持会话，而非 419 错误；建议统一为实际访问域名（如 APP_URL=https://test.com，SESSION_DOMAIN=.test.com，注意开头的点表示子域通配）。
✅ 正确解决路径（按优先级排序）：
-
联系主机提供商确认是否启用 Web 应用防火墙（WAF）或 ModSecurity 规则
这是最常见的元凶。某些共享主机（如 cPanel + Imunify360、SiteGround、GoDaddy 托管）默认启用严格 POST 过滤规则（如 981073, 981243, 981245 等 ModSecurity CRS 规则），会拦截含 application/x-www-form-urlencoded 或无明确 User-Agent 的表单提交。解决方案：临时禁用 WAF 或添加白名单规则。 -
检查服务器日志（非 Laravel 日志）
查看 Apache 的 error_log 或 Nginx 的 error.log，搜索 419, ModSecurity, rejected, blocked, POST 等关键词。若发现类似 ModSecurity: Access denied with code 403，即证实拦截。 -
验证 POST 是否真正到达 Laravel
在 app/Http/Middleware/VerifyCsrfToken.php 的 handle() 方法开头添加临时日志：\Log::info('CSRF Middleware reached. Method: ' . $request->method() . ', URL: ' . $request->fullUrl());若该日志从未写入，说明请求在进入 Laravel 前已被拦截。
