Laravel的Storage模块本身无需配置CORS，需根据文件返回方式分别处理：控制器返回时通过中间件或手动添加响应头；静态文件直链则须在Nginx/Apache中配置CORS响应头。
Laravel 10 的 CORS 配置与 Storage（文件存储）本身没有直接关系。Storage 是 Laravel 处理文件上传、读取、磁盘管理的模块（如 storage/app、public 磁盘），而 CORS（Cross-Origin Resource Sharing）是浏览器对HTTP 请求响应头的控制机制，只影响前端通过 JavaScript（如 fetch、axios）向后端 API 接口发起的跨域请求。
所以：
❌ 你不需要、也不应该给 Storage::get()、Storage::download() 或文件 URL（如 /storage/file.pdf）单独配置 CORS；
✅ 你需要配置的是：返回这些文件的 HTTP 响应所经过的路由或中间件是否携带正确的 CORS 响应头。
关键分两种情况：
✅ 情况一：通过控制器返回文件（例如 response()->file() 或 Storage::download()）
这类请求走的是 Laravel 路由和中间件流程，因此 CORS 配置生效。
你需要确保该路由被 CORS 中间件覆盖（例如在 api 中间件组中），或显式添加 CORS 头。
示例：提供一个可跨域下载的文件
// routes/api.php
Route::get('/download/{filename}', function ($filename) {
$path = storage_path('app/public/' . $filename);
if (!file_exists($path)) {
abort(404);
}
return response()->file($path)
->header('Access-Control-Allow-Origin', 'https://your-frontend.com')
->header('Access-Control-Allow-Methods', 'GET')
->header('Access-Control-Allow-Headers', 'Content-Type');
})->middleware('cors'); // 确保 cors 中间件已注册并启用⚠️ 注意：若启用了
supports_credentials: true（如带 Cookie 认证），则Access-Control-Allow-Origin*不能为 ``**，必须写具体域名。
❌ 情况二：直接通过 Web 服务器访问 /storage/xxx（如 Nginx/Apache 静态文件服务）
这是最常见误区。
当你运行 php artisan storage:link 后，public/storage/ 指向 storage/app/public/，前端通过类似 https://yoursite.com/storage/image.jpg 的 URL 直接访问文件——这个请求根本没进 Laravel 应用层，而是由 Nginx/Apache 直接返回静态文件，中间件、CORS 包、config/cors.php 全部无效。
✅ 正确做法：在 Web 服务器层配置 CORS 响应头。
▶ Nginx 示例（在对应 server 或 location 块中添加）：
location ^~ /storage/ {
add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
# 处理预检请求
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=UTF-8';
add_header 'Content-Length' 0;
return 204;
}
alias /path/to/your-project/storage/app/public/;
}▶ Apache 示例（.htaccess 或虚拟主机配置）：
<IfModule mod_headers.c>
<FilesMatch "\.(jpg|jpeg|png|gif|pdf|webp)$">
Header set Access-Control-Allow-Origin "https://your-frontend.com"
Header set Access-Control-Allow-Methods "GET, OPTIONS"
Header set Access-Control-Allow-Headers "Content-Type, Authorization"
Header set Access-Control-Allow-Credentials "true"
</FilesMatch>
</IfModule>? 提示：
/storage/下的文件若需鉴权（如私有文件），绝不能暴露在 public 下，必须走控制器（情况一），否则任何人都能直链访问。
✅ 补充：统一用 fruitcake/laravel-cors 覆盖所有 API 路由（推荐）
如果你的文件接口都定义在 routes/api.php，且已启用 api 中间件组：
// app/Http/Kernel.php
protected $middlewareGroups = [
'api' => [
\Fruitcake\Cors\HandleCors::class, // ✅ 确保这行存在
'throttle:api',
\Illuminate\Routing\Middleware\SubstituteBindings::class,
],
];再确认 config/cors.php 中路径匹配你的文件接口：
'paths' => ['api/*', 'api/download/*'], // ← 加上你的下载路由前缀 'allowed_origins' => ['https://your-frontend.com'], 'supports_credentials' => true,
这样，所有 api/download/xxx 请求都会自动带上 CORS 头。
总结一句话：
Laravel 的 Storage 不需要“配置 CORS”，你需要配置的是 谁在返回文件 —— 是 PHP 控制器（走中间件/CORS 包），还是 Web 服务器（配 Nginx/Apache 响应头）。选对路径，问题就解了一半。
