Laravel 9 起已原生集成 CORS 支持，无需额外安装 fruitcake/laravel-cors 包；只需正确启用 HandleCors 中间件并配置 config/cors.php，即可安全、精准地为 api/list 和 api/profiles 等路由开放跨域访问。
laravel 9 起已原生集成 cors 支持，无需额外安装 fruitcake/laravel-cors 包；只需正确启用 `handlecors` 中间件并配置 `config/cors.php`，即可安全、精准地为 `api/list` 和 `api/profiles` 等路由开放跨域访问。
Laravel 9 是 CORS 支持的重要分水岭——官方将原 fruitcake/laravel-cors 的核心逻辑（由 Barry vd Hoven 维护多年）正式合并进框架，以 Illuminate\Http\Middleware\HandleCors 的形式成为 Laravel 核心中间件。这意味着你不再需要 composer require fruitcake/laravel-cors，也无需手动注册第三方服务提供者，但配置方式与行为逻辑完全兼容旧版，迁移平滑，语义一致。
✅ 第一步：确认并启用内置 CORS 中间件
打开 app/Http/Kernel.php，检查全局中间件栈 $middleware（注意：不是 $middlewareGroups['api']）是否已包含：
protected $middleware = [
\Illuminate\Foundation\Http\Middleware\ValidatePostSize::class,
\Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull::class,
// ... 其他中间件
\Illuminate\Http\Middleware\HandleCors::class, // ← 必须存在，且建议置于靠前位置（如 Session 前）
];
⚠️ 关键提醒：Laravel 9 默认已在
$middleware数组顶部预置HandleCors::class，但升级或定制项目中可能被误删。若缺失，请手动添加；若仅放在$middlewareGroups['api']中，则仅对显式使用Route::middleware('api')的路由生效——而api/*路由默认即属该组，因此双重保障更稳妥。
✅ 第二步：配置 config/cors.php（精准控制 api/list 与 api/profiles）
运行以下命令生成/刷新配置文件（Laravel 9+ 仍需此步以确保配置可编辑）：
php artisan vendor:publish --tag=cors
编辑 config/cors.php，针对你的需求（如 api/list 和 api/profiles），推荐如下生产就绪型配置：
return [
'paths' => ['api/list', 'api/profiles', 'api/*'], // 显式匹配目标路径，支持通配符
'allowed_methods' => ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'], // 避免 '*' 在某些 CDN/Nginx 下被拦截
'allowed_origins' => [
'http://localhost:3000', // Vue/React 开发环境
'https://your-frontend.com', // 生产前端域名（务必协议、端口、子域全匹配）
// ❌ 禁止在 supports_credentials => true 时使用 ['*']
],
'allowed_headers' => ['Content-Type', 'X-Requested-With', 'Authorization', 'X-CSRF-TOKEN'],
'exposed_headers' => ['X-RateLimit-Limit', 'X-RateLimit-Remaining'], // 如需 JS 读取限流头
'supports_credentials' => true, // 若前端 fetch 含 credentials: 'include'（如带 Cookie 或 Token）
'max_age' => 3600,
];
? 配置说明：
Laravel Cloud下载Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
'paths' => ['api/list', 'api/profiles']精确限定生效范围，避免过度开放；'supports_credentials' => true时，allowed_origins必须为具体域名数组，不可含'*'，否则浏览器直接拒绝；'allowed_headers'应显式列出前端实际发送的自定义头（如X-Api-Key），而非盲目用'*'（部分代理不兼容）；exposed_headers仅当 JavaScript 需通过response.headers.get()读取响应头时才需填写。
✅ 第三步：验证路由是否命中 CORS 中间件
确保你的 API 路由定义在 routes/api.php 并遵循 Laravel 惯例（自动应用 api 中间件组）：
// routes/api.php
use Illuminate\Support\Facades\Route;
Route::get('/list', [ListController::class, 'index']); // 自动受 HandleCors 控制
Route::get('/profiles', [ProfileController::class, 'index']);
// 或显式分组（更清晰）：
Route::middleware('api')->group(function () {
Route::get('/list', [ListController::class, 'index']);
Route::get('/profiles', [ProfileController::class, 'index']);
});
? 调试技巧：在浏览器 DevTools → Network 中查找
OPTIONS预检请求，确认响应头含：Access-Control-Allow-Origin: http://localhost:3000 Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS Access-Control-Allow-Credentials: true
⚠️ 常见陷阱与规避方案
| 问题现象 | 根本原因 | 解决方案 |
|---|---|---|
OPTIONS 返回 404/500 |
Nginx/Apache 拦截预检请求，未透传给 PHP | 在 Web 服务器配置中显式允许 OPTIONS 方法（Nginx 示例：add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; + if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin "*"; add_header Access-Control-Allow-Headers "*"; add_header Access-Control-Allow-Credentials "true"; return 204; }） |
No 'Access-Control-Allow-Origin' header |
请求未进入 HandleCors（如路由在 web 组而非 api 组） |
检查路由是否定义在 routes/api.php，或显式绑定 ->middleware('api')
|
凭证请求失败（credentials: 'include'） |
supports_credentials => true 但 allowed_origins 含 '*'
|
将 allowed_origins 改为明确域名列表，并确保前端 origin 完全匹配（含 http:// 或 https://） |
✅ 补充：快速临时调试（仅开发环境）
若需极速验证，可在单个路由上绕过中间件，直接注入响应头（不推荐生产）：
// routes/api.php
Route::get('/list', function () {
return response()->json(['data' => []])
->header('Access-Control-Allow-Origin', 'http://localhost:3000')
->header('Access-Control-Allow-Credentials', 'true');
})->name('api.list');
但请始终优先使用 HandleCors 中间件——它完整处理预检请求、方法校验、头合并等复杂逻辑，是安全与规范的基石。
至此，你的 api/list 和 api/profiles 已具备健壮、可控、符合现代 Web 安全标准的跨域能力。Laravel 9+ 的内置 CORS 不仅简化了依赖，更通过标准化配置降低了出错概率——关键在于理解中间件挂载位置与配置项的语义约束。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
