为了保护路由，所有进来的请求都必须进行认证，应该将 Sanctum 认证守卫附加到 routes/api.php 的 API 路由里。如果一个请求是来自第三方的请求，这个守卫会确保进来的请求既是一个你的 SPA 应用的有状态的已认证请求，也是一个包含了有效令牌头的已认证请求：

Route::middleware('auth:sanctum')->get('/user', function (Request $request) {
    return $request->user();
});