Laravel 13 带凭证跨域请求报错的核心原因是 allowed_origins 与 supports_credentials 配置冲突：supports_credentials=true 时，allowed_origins 不得为 ['*'] 或含通配符，必须是完整协议+域名+端口的明确列表，且需确保 HandleCors 中间件正确启用、Web 服务器未覆盖响应头。
带凭证（比如 Cookie 或 Authorization header）的跨域请求在 Laravel 13 中报错，核心问题几乎总是 allowed_origins 和 supports_credentials 的组合不合法。浏览器强制要求：只要 supports_credentials => true，allowed_origins 就不能是 ['*']，也不能含通配符或非法格式，必须是明确、完整的可信域名列表。
检查 allowed_origins 是否合规
打开 config/cors.php，定位 allowed_origins 配置项：
- 确认不是
['*']—— 这是带凭证时最常见错误，浏览器会直接报错：“The value of the 'Access-Control-Allow-Origin' header must not be the wildcard '*' when the request's credentials mode is 'include'” - 确认每个域名都写全协议、主机名和端口（开发环境尤其注意）：
✅ 正确：['https://myapp.com', 'http://localhost:3000']
❌ 错误：['localhost:3000']（缺协议）、['http://localhost:*']（端口不能通配）、['*.myapp.com']（不支持子域名通配） - 如果前端用
127.0.0.1:3000访问，而配置里只写了localhost:3000，也会失败 —— 它们是不同源，需同时列出
确认 supports_credentials 设为 true 且逻辑一致
这个布尔值必须显式设为 true，且仅在你确实需要传 Cookie 或 token 时启用：
Laravel Cloud
下载
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
- 检查
config/cors.php中supports_credentials => true已开启 - 确保前端 fetch 请求中设置了
credentials: 'include'（Axios 则是withCredentials: true），否则后端即使配对也无意义 - 若前后端同域（如都走
https://myapp.com），其实无需 CORS，此时开启supports_credentials反而可能引入不必要的限制
排查中间件是否生效及位置是否正确
Laravel 13 默认使用内置 \Illuminate\Http\Middleware\HandleCors，但不会自动启用：
- 打开
app/Http/Kernel.php，检查$middlewareGroups['api']是否包含：\Illuminate\Http\Middleware\HandleCors::class - 不要把它加到全局
$middleware数组 —— 否则登录页、静态资源等也会被加 CORS 头，干扰调试甚至破坏 Session - 运行
php artisan config:clear清除配置缓存，避免旧配置残留
留意 Web 服务器层是否干扰响应头
Nginx 或 Apache 可能覆盖 Laravel 动态生成的 CORS 头，导致凭据相关头失效：
- 检查 Nginx 配置中是否有类似
add_header Access-Control-Allow-Origin '*';的硬编码行 —— 必须删除或注释掉，否则会覆盖 Laravel 根据allowed_origins动态设置的精确值 - 确认 Nginx 显式处理了 OPTIONS 预检请求，例如在 server 块中加入：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin 'https://myapp.com'; add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS'; add_header Access-Control-Allow-Headers 'Content-Type, Authorization'; add_header Access-Control-Allow-Credentials 'true'; add_header Access-Control-Max-Age 86400; add_header Content-Length 0; add_header Content-Type 'text/plain; charset=utf-8'; return 204; } - 若用反向代理（如 Cloudflare），确认它没过滤或重写
Access-Control-Allow-Credentials等敏感头
