我想出了一个可行的办法。
通过将以下内容添加到正在渲染SPA的刀片模板中。

<meta name="csrf-token" content="{{ csrf_token() }}">

然后在初始化Axios时（这是在默认的Laravel设置中的bootstrap.js中）添加crsf-token作为默认头。

window.axios.defaults.headers.common['X-CSRF-TOKEN'] = document.querySelector('meta[name="csrf-token"]').getAttribute('content');

这绕过了cookie，你可以在Laravel的VerifyCsrfToken中看到，它首先检查这个头文件（实际上，你也可以将_token作为GET或POST参数发送）。
https://github.com/laravel/framework/blob/4ffac6f71467562dbe670f893af787bf5c610103/src/Illuminate/Foundation/Http/Middleware/VerifyCsrfToken.php#L151
我发现的一个问题是，当你退出Sanctum时，你通常想重置令牌。
最好的办法是在Logout响应中返回csrf_token()，然后更新类似于上面的标题。
例如：

/**
     * @param \Illuminate\Http\Request $request
     * @return \Illuminate\Http\JsonResponse
     */
    public function logout(Request $request): JsonResponse
    {
        Auth::guard('web')->logout();
        $request->session()->invalidate();
        $request->session()->regenerateToken();
        return response()->json([
            'message' => 'You have been logged out.',
            'csrf_token' => csrf_token()
        ]);
    }

axios.post('/api/auth/logout').then(response => {
    window.axios.defaults.headers.common['X-CSRF-TOKEN'] = response.data.csrf_token
})

我希望这能帮助其他有同样问题的人！