В Laravel по-умолчанию встроена аутентификация пользователя с использованием форм и php-сессий. Однако такой подход неприменим для авторизации при работе через RESTful API. Дело в том, что один из принципов работы RESTful API заключается в том, что сервер между запросами не хранит никакой информации о текущем пользователе.
Согласно этому принципу вся информация для выполнения запроса должна приходить в самом запросе. Конечно, передавать в каждом запросе логин и пароль пользователя, является нарушением всех правил безопасности, даже несмотря на повсеместно используемый защищенный протокол https.
Вместо этого в запрос передается некая сгенерированная сервером последовательность символов - токен. Токен генерируется таким образом, чтобы его было практически невозможно подобрать в приемлемое время. Кроме того, у токена выставляется время действия, по истечении которого токен становится недействительным, и требуется его перевыдача.