Laravel CORS 配置中 PUT 方法被拒绝的解决方案-php教程-PHP中文网

Laravel CORS 配置中 PUT 方法被拒绝的解决方案

Laravel 使用 fruitcake/laravel-cors 时，即使设置了 'allowed_methods' => ['*']，若未正确配置 paths，预检请求（preflight）仍不会应用 CORS 头，导致 PUT/DELETE 等非简单方法被浏览器拦截。

laravel 使用 fruitcake/laravel-cors 时，即使设置了 `'allowed_methods' => ['*']`，若未正确配置 `paths`，预检请求（preflight）仍不会应用 cors 头，导致 put/delete 等非简单方法被浏览器拦截。

在 Laravel 中启用跨域资源共享（CORS）时，fruitcake/laravel-cors 并非对所有路由全局生效——它依赖于 paths 配置项来决定哪些路由应被中间件拦截并注入响应头。你当前的配置中：

'paths' => [],

表示不匹配任何路径，因此中间件根本不会执行，自然也不会设置 Access-Control-Allow-Methods: PUT, POST, GET, DELETE, ... 等关键响应头。浏览器在发送 PUT 请求前会先发起 OPTIONS 预检请求，而该请求返回的响应中缺失允许的 HTTP 方法列表，从而触发错误：

Method PUT is not allowed by Access-Control-Allow-Methods in preflight response

✅ 正确做法是明确指定需启用 CORS 的路由路径模式。对于标准 API 路由，推荐配置为：

// config/cors.php
'paths' => ['api/*'],
'allowed_methods' => ['*'],
'allowed_origins' => ['https://www.php.cn/link/97a34e8859e946b5313f18f5f5f4c9f6'], // ❗避免使用 '*' 配合 supports_credentials = true
'allowed_headers' => ['*'],
'supports_credentials' => true,
'max_age' => 3600,

⚠️ 注意事项：

supports_credentials => true 时，allowed_origins *不能为 `['']**，否则浏览器将拒绝响应（这是 CORS 规范强制要求）。请精确填写前端域名，如https://www.php.cn/link/97a34e8859e946b5313f18f5f5f4c9f6或https://www.php.cn/link/6dda8f32d9ddc2a9ffe87be7d361a5c9`。

Laravel Creem Agent
Creem 支付商店助理 — 查询订阅、客户、交易、产品，执行心跳检查，管理本地 Laravel支付商店。

下载
若使用 Vue.js SPA 发送带凭据（如 cookies、Authorization header）的请求，请确保前端 fetch 或 Axios 配置中启用 credentials：
```
// Axios 示例
axios.put('/api/v1/attributes/3', data, {
  withCredentials: true
})
```
修改 config/cors.php 后，运行以下命令刷新配置缓存（尤其在生产环境）：
```
php artisan config:clear
```

如需更细粒度控制（例如仅对特定控制器启用 CORS），也可在路由定义中显式调用中间件：

Route::middleware('cors')->group(function () {
    Route::put('/api/v1/attributes/{id}', [AttributeController::class, 'update']);
});

总结：'allowed_methods' => ['*'] 本身有效，但前提是中间件必须被激活——而激活的前提是 paths 匹配到对应路由。将 'paths' => ['api/*']（或更具体的 'api/v1/*'）设为非空数组，是解决 PUT 方法被拦截的根本所在。