解决Laravel跨域问题CORS中间件配置全攻略【互通】-php教程-PHP中文网

先验证handlecors是否执行：在handle()开头加options日志，无日志说明中间件未挂载，有日志但500则查config/cors.php语法或类不存在；再紧盯paths、allowed_origins、supports_credentials、allowed_headers四项配置，顺序错、值冲突或不匹配均导致跨域失败。

解决laravel跨域问题cors中间件配置全攻略【互通】

跨域报错不是配置没加，而是中间件根本没跑起来，或者 config/cors.php 里的设置和浏览器实际要求对不上。

怎么确认 HandleCors 中间件真在执行？

光看配置文件没用，得验证它是否被触发。最直接的办法是在预检请求（OPTIONS）到达时打日志：

打开 app/Http/Middleware/HandleCors.php，在 handle() 方法开头加：

if ($request->method() === 'OPTIONS') {<br>    \Log::info('CORS preflight hit', ['origin' => $request->headers->get('Origin')]);<br>}

用前端发一个带自定义 header（比如 X-Requested-With）的请求，触发预检
查 storage/logs/laravel.log：
- 没日志 → 请求压根没进这个中间件，检查路由前缀（如 api/）是否属于 api 中间件组，且该组已启用 HandleCors
- 有日志但返回 500 → 看日志里有没有 ReflectionException 或 Class not found，常见于 config/cors.php 里写了不存在的类、闭包语法错误，或用了未安装的扩展

config/cors.php 哪几个键必须盯死？

这四个配置项出错，90% 的跨域失败都源于此：

Laravel

避免常见的Laravel错误：N+1查询、批量赋值、缓存陷阱及队列序列化陷阱。

下载

paths：必须覆盖你的 API 路径，例如 ['api/*', 'sanctum/csrf-cookie']。空数组或没匹配上，中间件直接跳过
allowed_origins：开发可写 ['http://localhost:3000']；生产禁用 ['*']，尤其开了凭据时——浏览器会直接拒绝
supports_credentials：设为 true 时，allowed_origins 必须是具体域名数组，不能含 *；同时前端 fetch 要加 credentials: 'include'
allowed_headers：如果前端发了 X-Api-Key 或 Content-Type: application/json，这里就得显式写 ['X-Api-Key', 'Content-Type']，不能留空，也不能只靠 ['*']（部分浏览器不认）

HandleCors 在 Kernel.php 里放哪儿才对？

顺序错了，中间件就等于没装。别塞进全局 $middleware 末尾，也别丢进 web 组里不管 API：

Laravel 9+ 内置 Illuminate\Http\Middleware\HandleCors，不用装包；Laravel 8 及以下需 composer require fruitcake/laravel-cors
在 app/Http/Kernel.php 中，把它放在 TrustProxies 之后、StartSession 和 EncryptCookies 之前
只在 $middlewareGroups['api'] 里启用，别加到 web 或全局 $middleware 数组——否则静态资源、健康检查接口也会被加头，徒增干扰
确认 api 路由组确实绑定了它：php artisan route:list 看目标路由的 Middlewares 列是否含 handle-cors

OPTIONS 预检失败，405 错误怎么破？

这不是 CORS 配置问题，是 Laravel 根本没响应预检请求。浏览器发 OPTIONS，后端却返回 405 Method Not Allowed，说明路由没兜住：

确保 routes/api.php 里有对应路径的 Route::options() 定义，哪怕只是空的：
```
Route::options('/api/{any}', fn () => response(''))->where('any', '.*');
```
这个 options 路由不能被 auth:sanctum 或其他认证中间件包裹——预检请求不含 token，认证中间件会直接拒掉
用 curl -I -X OPTIONS http://your.app/api/endpoint 检查响应头，重点看：Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Credentials 是否齐全——少一个，前端照样卡住