Laravel 默认不处理跨域，因CORS属HTTP安全策略，交由中间件或反向代理控制；推荐使用fruitcake/laravel-cors中间件，需正确配置allowed_origins、supports_credentials等参数，避免与Nginx冲突。
为什么 Laravel 默认不处理跨域？
Laravel 本身不内置跨域响应头（如 Access-Control-Allow-Origin），因为跨域是 HTTP 层面的安全策略，框架默认交由中间件或反向代理控制。直接在控制器里手动加 header 容易遗漏、重复，也不符合分层原则。
- 开发环境用
php artisan serve时，浏览器会因缺少响应头直接拦截请求 - 生产环境若 Nginx/Apache 没配 CORS，Laravel 应用即使返回数据，前端仍报
CORS error - 部分中间件（如认证中间件）可能在 CORS 头写入前就抛出异常，导致头未生效
用 @laravel/sanctum 或 fruitcake/laravel-cors？
二者定位不同：fruitcake/laravel-cors 是纯 CORS 中间件，轻量、通用；@laravel/sanctum 主要解决 SPA 认证，附带基础 CORS 支持但配置粒度粗，只适合简单场景（比如本地开发调试）。生产项目建议用 fruitcake/laravel-cors。
- 安装后自动注册中间件，无需手动
app/Http/Kernel.php添加 - 配置文件
config/cors.php控制白名单、方法、凭证等，比硬编码更安全 -
sanctum的 CORS 配置仅作用于/api/*和/sanctum/*路由，其他路由（如/admin）不生效
config/cors.php 关键参数怎么设？
别直接抄默认配置——尤其是 allowed_origins 和 supports_credentials，设错会导致 401 或完全失效。
-
'allowed_origins' => ['http://localhost:3000', 'https://myapp.com']：不能写*同时开启supports_credentials => true，否则浏览器拒绝 -
'supports_credentials' => true：前端需设credentials: 'include'，后端 session 才能被识别；但此时 origin 不能为* -
'allowed_methods' => ['GET', 'POST', 'OPTIONS']：必须包含OPTIONS，预检请求才不会 404 -
'exposed_headers'：如需读取自定义响应头（如X-RateLimit-Remaining），必须显式列出
Nginx 反代时 CORS 头被覆盖怎么办？
如果用了 Nginx 做反向代理，它可能覆盖 Laravel 输出的 CORS 头，尤其当 Nginx 配置了 add_header 且没加 always 参数时。
- 检查 Nginx 配置中是否有
add_header Access-Control-Allow-Origin ...;—— 若有，删掉，让 Laravel 全权控制 - 若必须由 Nginx 统一管控（如多后端共用一套 CORS 策略），则禁用 Laravel 的 CORS 中间件，并确保 Nginx 的
add_header加上always，例如：add_header 'Access-Control-Allow-Origin' 'https://myapp.com' always; - 注意：Nginx 的
add_header不继承，需放在location块内，且对 4xx/5xx 响应默认不生效，加always才行
最常被忽略的是预检请求（OPTIONS）是否真正落到 Laravel。如果 Nginx 把 OPTIONS 请求拦下来返回空响应，或者前端发的是带 credentials 的请求但 origin 写成 *，问题就卡在协议细节里，而不是代码逻辑。
