最准测试方式是用浏览器network面板查看真实跨域请求的响应头是否含access-control-allow-origin等字段；若缺失，说明laravel中间件未生效或被nginx拦截，需结合日志、curl预检及postman验证定位问题。
直接在浏览器开发者工具的 Network 面板里发一个真实跨域请求，看响应头有没有出现 Access-Control-Allow-Origin 等字段，是最准、最直接的测试方式。别只盯着 config/cors.php 配置是否写对，关键得看请求真跑过去时，Laravel 是否实际返回了这些头。
用前端页面发起真实跨域请求
写一段最小化 JS 代码，在另一个域名（比如 http://localhost:3000）下运行：
fetch('http://your-laravel-app.test/api/test', {
method: 'GET',
credentials: 'include' // 如果 supports_credentials=true，必须加这个
})
.then(res => console.log(res))
.catch(err => console.error(err));
打开 Chrome DevTools → Network → 找到该请求 → 点开 → Headers 标签页，检查 Response Headers 中是否包含：
- Access-Control-Allow-Origin（值应为你的前端地址，不是 *）
- Access-Control-Allow-Methods
- Access-Control-Allow-Headers
- 如果启用了凭据，还应有 Access-Control-Allow-Credentials: true
没看到这些头？说明中间件根本没生效，或被 Nginx 拦截了 OPTIONS 请求。
手动触发预检请求（OPTIONS）
浏览器自动发的 OPTIONS 请求看不见？那就自己发一个：
curl -X OPTIONS \ -H "Origin: http://localhost:3000" \ -H "Access-Control-Request-Method: GET" \ -H "Access-Control-Request-Headers: Authorization" \ -I http://your-laravel-app.test/api/test
观察返回状态码和响应头：
- 返回 204 No Content 且带 CORS 头 → 预检通过
- 返回 405 Method Not Allowed → Laravel 没匹配到 OPTIONS 路由，或被认证中间件拦截
- 返回 200 但没 CORS 头 → HandleCors 中间件未注册或顺序错误
查日志 + 检查中间件是否真执行
在 app/Http/Middleware/HandleCors.php 的 handle() 方法开头加一行：
Log::info('HandleCors executed for ' . $request->url());
再发起一次跨域请求，然后运行：
tail -f storage/logs/laravel.log
没日志输出？说明中间件根本没进请求链——立刻去 app/Http/Kernel.php 检查：
- 是否加在
$middleware数组顶部（全局生效）或$middlewareGroups['api']里（仅 API 路由） - Laravel 12 默认用的是
\Illuminate\Http\Middleware\HandleCors::class，不是 Fruitcake 的旧类名 - 确认没被其他中间件（如 auth、throttle）提前终止流程
绕过浏览器，用 Postman 或 curl 测试后端行为
Postman 不受同源策略限制，但它能帮你验证后端是否“愿意”返回 CORS 头：
- 发一个普通 GET 请求，手动加上 Origin: http://localhost:3000 请求头
- 查看响应里是否有 Access-Control-Allow-Origin: http://localhost:3000
如果有 → 后端配置基本正确；如果没有 → 问题出在中间件注册、路径匹配（config/cors.php 的 paths 是否覆盖该路由）或缓存上。记得清缓存：
php artisan config:clear && php artisan cache:clear
