Laravel12怎么限制接口只允许公司内网域名调用-php教程-PHP中文网

Laravel 12 应通过中间件校验 Origin 头白名单（如 https://admin.internal.company），配合 config/app.php 动态配置多环境域名，并启用 CORS 中间件同步设置 allowed_origins；Referer 仅作辅助校验，且必须叠加 API Token 或 JWT 等真实鉴权。

laravel12怎么限制接口只允许公司内网域名调用

要让 Laravel 12 的接口只允许公司内网域名（如 https://admin.internal.company、https://app.internal.company）调用，核心是校验请求头中的 Origin 或 Referer，并结合中间件做白名单拦截。注意：这种限制属于前端/网络层防护，不能替代服务端真实鉴权（如 API Token、JWT），因为请求头可被手动构造绕过。

用中间件校验 Origin 白名单

浏览器跨域请求会自动携带 Origin 头，这是最标准、最可靠的判断依据。你需要创建一个中间件，读取该头并比对预设的内网域名列表。

运行命令生成中间件：php artisan make:middleware AllowInternalOrigins

编辑 app/Http/Middleware/AllowInternalOrigins.php，在 handle() 方法中写入：

$origin = $request->headers->get('Origin');
$allowed = config('app.internal_origins', [
    'https://admin.internal.company',
    'https://app.internal.company',
    'http://localhost:3000' // 开发环境可保留
]);
if ($origin && !in_array($origin, $allowed)) {
    abort(403, 'Access denied: origin not allowed');
}
return $next($request);

在 config/app.php 末尾添加配置项，便于多环境管理：

'internal_origins' => [
    'production' => ['https://admin.internal.company', 'https://app.internal.company'],
    'local' => ['http://localhost:3000', 'https://admin.internal.company'],
],
// 然后在中间件里用：config('app.internal_origins.' . app()->environment(), [])

配合 CORS 配置确保响应头一致

如果前端是浏览器应用，光拦截还不够，还要让响应带上正确的 CORS 头，否则预检请求（OPTIONS）会失败。

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

确认已启用 Fruitcake\Cors\HandleCors 中间件（Laravel 9+ 默认集成）

编辑 config/cors.php，设置：

'paths' => ['api/*'],
'allowed_origins' => config('app.internal_origins.' . app()->environment(), []),
'supports_credentials' => true,
'allowed_headers' => ['*'],

确保 App\Http\Kernel.php 的 $middlewareGroups['api'] 包含 \Fruitcake\Cors\HandleCors::class

补充：对非浏览器请求做 Referer 回退校验

部分脚本或 CLI 工具（如 curl）不带 Origin，但可能有 Referer。你可以作为辅助判断，但不要单独依赖它——Referer 更易伪造。

在中间件中追加逻辑：

$referer = $request->headers->get('Referer');
if (!$origin && $referer && !str_starts_with($referer, 'https://admin.internal.company') && !str_starts_with($referer, 'https://app.internal.company')) {
    abort(403, 'Referer not allowed');
}