У нас получилось так - все локальные юзеры авторизуются через Azure, но возникла необходимость давать доступы к определенным сервисам для внешних юзеров - поэтому сделали сервер авторизации Oauth2 для внешних юзеров, в которых возможно на уровне скопов будет разделение
даже в доках Sanctum разделено. API Token Authentication SPA Authentication
Не столько разделено, сколько разграничено. Если для создания токена нужно напрямую обратиться к релейшену, то для SPA Санктум добавляет урл /sanctum/csrf-token, при запросе которого можно получить свежий токен и отправлять запросы. Это нужно для реализации CORS. Вот и всё отличие в методах.