laravel不处理静态资源跨域，因其请求由nginx/apache直接响应、不经过php；需在web服务器层配置cors头，如nginx中添加add_header指令并正确处理options预检。
静态资源（如 CSS、JS、图片）本身不触发跨域限制，但若前端页面从 https://a.com 加载，却通过 JS 请求了 Laravel 后端的 https://b.com/assets/logo.png，这时才涉及 CORS。Laravel 默认不处理静态资源的跨域响应——它压根不接管这些请求。
静态资源根本不会经过 Laravel 路由
Laravel 是 PHP 应用服务器，只响应被 Web 服务器（Nginx/Apache）转发给它的 PHP 请求。而静态资源通常由 Web 服务器直接返回：
- Nginx 配置中若有
location ~ \.(js|css|png|jpg|gif)$块，并设置了try_files $uri =404;，那请求就止步于 Nginx，Laravel 完全无感知 - 这意味着你在
config/cors.php里怎么配，或在 Kernel 中加多少HandleCors，对/css/app.css这类路径都无效 - 浏览器控制台看到的 CORS 报错若指向静态资源路径，问题一定出在 Web 服务器层，不是 Laravel 的锅
需要跨域访问静态资源？改 Nginx 或 Apache
如果你真有场景要让其他域名加载你的 Laravel 项目托管的静态文件（比如 CDN 回源、微前端共享资源），必须在 Web 服务器配置 CORS 响应头：
- Nginx 示例：在对应 server 或 location 块中添加
add_header 'Access-Control-Allow-Methods' 'GET, OPTIONS';
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';
- 注意：若需携带 cookie，
Access-Control-Allow-Origin不能写*，且要加add_header 'Access-Control-Allow-Credentials' 'true'; - 对
OPTIONS预检请求，Nginx 需显式返回 204 或 200，例如：if ($request_method = 'OPTIONS') { add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com'; add_header 'Access-Control-Allow-Methods' 'GET, OPTIONS'; add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With'; add_header 'Access-Control-Max-Age' 1728000; add_header 'Content-Type' 'text/plain; charset=utf-8'; add_header 'Content-Length' 0; return 204; }
常见误判：你以为是静态资源，其实是 API 接口
很多所谓“静态资源 CORS 报错”，实际是前端代码误把接口当资源用了：
- 比如用
<img src="/api/avatar/123">，浏览器会发 GET 请求到/api/avatar/123，这是 Laravel 路由，走 CORS 中间件 - 又比如前端 JS 用
fetch('/storage/uploads/file.pdf')，而该路径实际被 Laravel 的Storage::url()指向/storage/uploads/file.pdf，但你没配 public disk 的符号链接或没启用fallback，导致请求落到 Laravel 的 404 处理逻辑，反而触发了中间件链 - 此时真正要检查的是：路由是否注册、中间件是否误加到 web 组、
config/cors.php的paths是否覆盖了storage/*
更安全的做法：别让静态资源走 Laravel
除非业务强依赖（如权限校验后动态生成图片），否则静态资源应完全绕过 PHP：
- 把
public/storage符号链接指向storage/app/public，确保 Nginx/Apache 直接读取文件 - 用对象存储（如 S3、OSS）托管静态资源，前端直连 CDN，彻底解耦
- 若必须经 Laravel 控制访问，用专用路由 + 中间件鉴权，但明确设置
response()->file()并手动加 CORS 头，不要依赖 fruitcake/laravel-cors 自动处理——它默认不匹配storage/*路径
