Laravelで一般的な内部用APIの設計を教えてほしい

Question

LaravelでAPIを作成しています。
他人に勝手にURLを叩かれても問題ないようにログイン済みユーザーかどうかを判断し、
そうでなければエラーを返すようにしようかと思っていますが、このような設計は正しいのでしょうか？
一般的に、内部でしか使用しないAPIを作成する場合、Laravel Passport等のOAuth認証は使用したほうが良いのでしょうか？

以下のように実装しましたが、ログインした状態でAPIを叩いても401 Unauthorizedと怒られてしまいます。
正しい実装をご教授いただけると幸いです。

api.php

Route::middleware('auth:api')->group(function () {
  Route::post('/set/sample_data/', 'SampleController@sample');
});

SampleController.php

public function sample(Request $request)
{
  if ($request['user_id'] != Auth::id()) {
     // エラー処理
  }
  return  Post::find($request['user_id']);
}

Answer 1

routes/api.phpがあるからAPI用はこっちに書きたくなるけどまずこの発想を捨てる。
api.phpかweb.phpかは認証方法で分ける。

config/auth.phpを見ればwebとapiがあって完全に別の認証だと分かる。

    'guards' => [
        'web' => [
            'driver' => 'session',
            'provider' => 'users',
        ],

        'api' => [
            'driver' => 'token',
            'provider' => 'users',
        ],
    ],

web側で認証済でもapi側からは認証できてないように見える。

さっさと結論としてどうすればいいかというとweb.phpに書いてweb側の認証を使う。

Route::prefix('api')->middleware('auth')->group(function () {
  Route::post('/set/sample_data/', 'SampleController@sample');
});

同じサイト内であればJSからでもこれでいい。

Comments

[poteto4401]

早速ご回答いただきありがとうございます！
ついでにお聞きしたいのですが、api.phpはどういった時に使用するのでしょうか？