laravel 5.5本身不处理负载均衡层的cors问题，需负载均衡器放行options预检请求、laravel精准配置barryvdh/laravel-cors（supports_credentials=true时allowed_origins不可为*）、集群各节点配置一致且中间件顺序正确。
Laravel 5.x（特别是 5.5）本身不处理负载均衡层的 CORS 问题，它只负责应用层响应头的生成。所谓“Laravel 配置 CORS + 负载均衡”，实际是三层协同问题：前端 → 负载均衡器（如 Nginx、ALB、ESA）→ Laravel 应用服务器集群。CORS 失效常因预检请求（OPTIONS）被负载均衡器拦截或未透传，而非 Laravel 配置错误。
下面分关键环节说明如何正确配置：
负载均衡器必须放行 OPTIONS 请求
浏览器跨域前会自动发一个无 body 的 OPTIONS 预检请求。如果负载均衡器（如 Nginx、阿里云 ESA、AWS ALB）未显式允许该方法，请求根本到不了 Laravel，自然不会触发任何中间件或响应头。
-
Nginx 示例（在 server 或 location 块中）：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin "https://your-frontend.com"; add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"; add_header Access-Control-Allow-Credentials "true"; add_header Access-Control-Max-Age "86400"; add_header Content-Length 0; add_header Content-Type text/plain; return 200; }⚠️ 注意：
Access-Control-Allow-Origin值需与 Laravel 后端supports_credentials设置一致（不能为*）；若前端带withCredentials: true，这里也必须写具体域名。 阿里云 ESA / AWS ALB：
确保健康检查路径（如/health）不与OPTIONS /api/*冲突；在负载均衡策略中启用「透传所有 HTTP 方法」，并确认源站组中所有后端 Laravel 实例都已正确返回 CORS 头（避免部分节点配置遗漏导致轮询失败）。
Laravel 5.5 的 CORS 配置必须精准匹配
Laravel 5.5 不支持 fruitcake/laravel-cors（仅兼容 Laravel 6+），必须使用 barryvdh/laravel-cors，且配置极易出错：
-
安装与注册：
composer require barryvdh/laravel-cors
手动在
config/app.php的'providers'数组末尾添加：Barryvdh\Cors\ServiceProvider::class,
再运行：
php artisan vendor:publish --provider="Barryvdh\Cors\ServiceProvider"
-
config/cors.php关键项（生产环境示例）：'allowed_origins' => ['https://your-frontend.com'], 'supports_credentials' => true, 'allowed_headers' => ['Content-Type', 'Authorization', 'X-Requested-With'], 'allowed_methods' => ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'], 'exposed_headers' => [], 'max_age' => 3600, 'paths' => ['api/*'],
✅ 重点：
supports_credentials => true时，allowed_origins绝对不可写['*']，否则浏览器静默拒绝，连预检都看不到。 中间件顺序：
在app/Http/Kernel.php中，确保\Barryvdh\Cors\HandleCors::class放在认证中间件（如auth:api）之前，否则带 token 的预检可能被拦截。
后端服务集群需配置一致
负载均衡后有多个 Laravel 实例时，必须保证：
- 所有实例的
config/cors.php完全相同； - 所有实例均执行过
php artisan config:cache（且部署时清缓存）； - Session/Cookie 设置统一：若用
SESSION_DRIVER=cookie，需确保SESSION_DOMAIN匹配前端域名（如.your-frontend.com），且SameSite=None; Secure属性正确（HTTPS 环境下必需）； - 若使用 Sanctum 或 Passport，其 CSRF 或 token 校验逻辑不能干扰 OPTIONS 请求（Sanctum 默认跳过预检）。
不推荐在 Laravel 层做“负载均衡感知”的 CORS 动态判断
有人试图根据 $request->server('HTTP_X_FORWARDED_FOR') 或 $_SERVER['SERVER_ADDR'] 动态改 Access-Control-Allow-Origin ——这既不必要，也不安全。CORS 是协议级约束，应由统一网关（负载均衡器）或应用层静态配置控制，而非运行时拼接。
本质上，负载均衡器只负责流量分发和预检透传，CORS 响应头由 Laravel 统一生成即可。只要预检能抵达、Laravel 配置无硬伤、前后端凭证策略对齐，跨域就能稳定工作。
