Laravel 5.6 - Как аутентифицировать API с помощью сеансов для одной и той же папки SPA?

У меня есть React SPA в том же проекте Laravel. Вход в систему / регистрация / выход из системы и все другие представления js находятся в папке js и используют вызовы api axios для всех запросов POST/GET. Я хочу использовать веб-аутентификацию на основе сеанса Laravel по умолчанию для встроенного SPA, поскольку он находится в той же папке проекта и будет единственным клиентом javascript, имеющим к нему доступ. Этот api не должен быть открытым для публики, только для этого реагирующего приложения, и это SPA для скорости и хорошего взаимодействия с пользователем вместо полной перезагрузки страницы.

Я пробовал использовать Passport раньше и больше месяца я все еще не могу заставить его работать должным образом. Я не хочу иметь дело с токенами, токенами доступа, токенами обновления, отзывом токенов, CSRF и т. Д. Просто готовая простая аутентификация на основе сеанса Laravel, которая так легко работает в Интернете, но хочу, чтобы она работала в моем приложении для реагирования. Единственный файл лезвия - это index.blade.php, который включает реакцию app.js

Есть идеи, как это сделать?

ОБНОВЛЕНИЕ 1:

После реализации предложения @ceejayoz:

Вы должны добавить различные промежуточные программы Session / Cookie в app / Http / Kernel.php (например, \ Illuminate \ Session \ Middleware \ StartSession :: class) к маршрутам API.

Я добавил в $middlewareGroups.api, чтобы соответствовать web промежуточному программному обеспечению в app/Http/Kernel.php:

'api' => [
    'throttle:60,1',
    'bindings',
    // Newly added middleware to match web middleware
    \App\Http\Middleware\EncryptCookies::class
    \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
    \Illuminate\Session\Middleware\StartSession::class,
    \Illuminate\View\Middleware\ShareErrorsFromSession::class,
    \App\Http\Middleware\VerifyCsrfToken::class,
    \Illuminate\Routing\Middleware\SubstituteBindings::class,
],

Я понял, что возникли две проблемы:

1. В таблице сеансов, даже если вы не вошли в систему, при загрузке домашней страницы приложения (или любой страницы) несколько сеансов вставляются в таблицу sessions. Не следует ли вставлять новый одиночный сеанс в эту таблицу только после входа пользователя в систему?

2. После входа пользователя в систему, при обновлении страницы вручную в браузере и вызове защищенного маршрута я получаю 401 Unauthenticated, который указывает мне на этот метод в Illuminate/Auth/GuardHelpers.php:

   public function authenticate() {
       if (! is_null($user = $this->user())) {
           return $user;
       }
   
       throw new AuthenticationException; // throws this 401 exception on logged in page refresh when fetching data from private route
   }
   

Некоторые дополнительные примечания:

• В config/auth.php я обновил guards.api.driver до session вместо token.
• В routes/api.php у меня есть защищенные маршруты, завернутые в промежуточное ПО для аутентификации, например: Route::group(['middleware' => 'auth'], function() { PRIVATE ROUTES HERE }
• В config/session.php у меня 'domain' => '.mydomain.com'

• Я отправляю эти заголовки с каждым запросом api axios следующим образом:

  window.axios.defaults.headers.common['X-Requested-With'] = 'XMLHttpRequest';
  let token = document.head.querySelector('meta[name="csrf-token"]');
  window.axios.defaults.headers.common['X-CSRF-TOKEN'] = token.content;
  

Есть идеи, как исправить эти 2 проблемы?