route::get() 和 route::post() 必须写在 routes/web.php 中，因仅该文件默认启用 web 中间件组（含 session、csrf、模板渲染）；误放 api.php 会导致 csrf 失败，放其他文件则不被自动加载。
Route::get() 和 Route::post() 必须写在 routes/web.php 里
Web 页面路由（带 session、CSRF、模板渲染）只应放在 routes/web.php，这是 Laravel 默认启用 web 中间件组的唯一入口。写到 routes/api.php 会导致 CSRF token 验证失败，表单提交直接报 TokenMismatchException；写到其他文件（如自建 routes/admin.php）则根本不会被自动加载，除非你手动 require 它——不推荐。
常见错误包括：
- 把登录接口写成
Route::post('/login', ...)放进web.php却忘了前端表单漏掉@csrf - 为 API 写了
Route::get('/api/users')却塞进web.php，结果响应头带 Cookie、Session ID，违反无状态原则 - 在 Laravel 10+ 中用字符串控制器语法
'UserController@index'，但没配RouteServiceProvider的控制器命名空间自动发现，导致 404
GET 路由返回视图、字符串或数组的差异
Route::get() 第二个参数是闭包或控制器方法，返回值类型决定响应行为：
- 返回纯字符串（如
return 'hello';）→ 自动设为text/html+ HTTP 200 - 返回数组（如
return ['status' => 'ok'];）→ 自动 JSON 化，Content-Type: application/json - 返回
view()（如return view('welcome', ['name' => 'Taylor']);）→ 渲染 Blade 模板，走完整 Web 生命周期
别在闭包里写数据库查询或业务逻辑——路由文件不是放业务代码的地方。比如 Route::get('/user/{id}', function ($id) { $user = DB::table(...)->find($id); return view('user', compact('user')); }); 看似能跑，但后续加缓存、日志、权限校验时会很难抽离。
POST 路由必须处理 CSRF，且不能靠 GET 方式测试
Laravel 对所有 web 中间件组下的非 GET/HEAD 请求强制校验 CSRF token。这意味着：
- 用浏览器直接访问
/submit（即 GET）会报错，哪怕你定义的是Route::post() - 表单中必须包含
@csrf（Blade）或<input type="hidden" name="_token" value="{{ csrf_token() }}"> - 用
curl或 Postman 测试时，需手动加 header：-H "X-XSRF-TOKEN: $(grep XSRF-TOKEN storage/framework/views/*.php | head -1 | cut -d'\"' -f2)"（不实用），更简单的是先 GET 一次登录页获取 cookie + token，再 POST
别用 Route::match(['get', 'post'], ...) 图省事去“兼容”表单页——它会让同一个方法混着处理展示和提交逻辑，一旦 POST 失败要重渲表单并保留用户输入，就得手动传回所有字段，极易出错。正确做法是分开：Route::get('/register', [AuthController::class, 'showRegister']) + Route::post('/register', [AuthController::class, 'storeRegister'])。
带参数的路由要注意占位符顺序和 where 约束
路径里的 {id} 是通配符，不加约束时 /user/abc 也能匹配 /user/{id}，但后续调用 User::findOrFail($id) 会抛 ModelNotFoundException。补救方式只有两种：
- 加正则约束：
->where('id', '[0-9]+')，注意不要写^和$，Laravel 会自动包裹 - 可选参数必须放末尾且带默认值：
/user/{name?}/{id?}→->defaults('name', 'guest')->where('id', '[0-9]+')
别把 where() 当万能通配：想匹配含斜杠的路径段（如 /docs/install/guide），得用 ->where('path', '.*')，且该路由必须定义在所有更具体路由之后，否则会提前截断其他路由。
