Laravel 7 默认不内置 CORS 中间件，需手动配置处理 OPTIONS 预检请求：返回 200 状态码并设置 Access-Control-Allow-Origin、Methods、Headers 等响应头，且 supports_credentials 为 true 时 allowed_origins 不可为 *。

Laravel 7 默认不内置 CORS 中间件，预检请求（OPTIONS）不会被自动处理，必须手动配置才能让浏览器通过校验。核心在于：让 OPTIONS 请求返回 200 状态码，并带上正确的 CORS 响应头，且不执行后续业务逻辑。

---

预检请求必须满足的条件

浏览器发起非简单请求（如带 Authorization 头、Content-Type: application/json、或使用 PUT/DELETE）前，会先发一个 OPTIONS 请求。服务器必须响应：

• 状态码 200 OK
• 包含 Access-Control-Allow-Origin（不能是 * + credentials 共存）
• 包含 Access-Control-Allow-Methods
• 包含 Access-Control-Allow-Headers
• 若需携带 Cookie，还需 Access-Control-Allow-Credentials: true

---

方法一：用 fruitcake/laravel-cors 包（推荐）

Laravel 7 支持该包，它是当时最稳定、适配性最好的 CORS 解决方案。

1. 安装包

   composer require fruitcake/laravel-cors

2. 发布配置

   php artisan vendor:publish --provider="Fruitcake\Cors\CorsServiceProvider"

3. 编辑 config/cors.php，关键项示例：

   'paths' => ['api/*'],  
   'allowed_origins' => ['http://localhost:3000', 'https://your-frontend.com'],  
   'allowed_methods' => ['*'],  
   'allowed_headers' => ['Content-Type', 'X-Requested-With', 'Authorization'],  
   'supports_credentials' => true, // 如需 Cookie，此项为 true，allowed_origins 就不能写 ['*']

4. 注册中间件
   打开 app/Http/Kernel.php，将中间件加入 $middlewareGroups['api']（不要加到全局 $middleware，避免影响登录页等非 API 请求）：

   'api' => [
    \Fruitcake\Cors\HandleCors::class,
    // ... 其他中间件
   ],

✅ 这样配置后，所有匹配 api/* 的路由（包括 OPTIONS）都会由中间件拦截并正确响应预检。

---

方法二：自定义中间件（轻量、无依赖）

适合不想引入第三方包，或需动态控制来源的场景。

Laravel

避免常见的Laravel错误：N+1查询、批量赋值、缓存陷阱及队列序列化陷阱。

下载

1. 创建中间件

   php artisan make:middleware HandleCors

2. 编辑 app/Http/Middleware/HandleCors.php 的 handle() 方法：

   public function handle($request, Closure $next)
   {
    // 如果是 OPTIONS 请求，直接返回空响应并设置头
    if ($request->isMethod('OPTIONS')) {
        return response('', 200)
            ->header('Access-Control-Allow-Origin', 'http://localhost:3000')
            ->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS')
            ->header('Access-Control-Allow-Headers', 'Content-Type, Authorization, X-Requested-With')
            ->header('Access-Control-Allow-Credentials', 'true');
    }
   
    // 正常请求：添加响应头
    $response = $next($request);
    $response->headers->set('Access-Control-Allow-Origin', 'http://localhost:3000');
    $response->headers->set('Access-Control-Allow-Credentials', 'true');
   
    return $response;
   }

3. 注册到 Kernel.php 的 api 组（同上）

   'api' => [
    \App\Http\Middleware\HandleCors::class,
    // ...
   ],

⚠️ 注意：Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials 必须严格匹配——若后者为 true，前者绝不能是 *。

---

方法三：在路由中单独处理 OPTIONS（应急用）

适用于只对个别接口开放跨域，且不想改中间件。

在 routes/api.php 中显式定义 OPTIONS 路由：

// 预检专用路由（必须放在实际路由之前）
Route::options('/login', function () {
    return response('', 200)
        ->header('Access-Control-Allow-Origin', 'http://localhost:3000')
        ->header('Access-Control-Allow-Methods', 'POST')
        ->header('Access-Control-Allow-Headers', 'Content-Type, Authorization')
        ->header('Access-Control-Allow-Credentials', 'true');
});

Route::post('/login', [AuthController::class, 'login']);

⚠️ 缺点：每个需要跨域的接口都得配一条，维护成本高，不推荐长期使用。

---

常见失败原因排查

• OPTIONS 请求根本没进 Laravel → 检查 Nginx/Apache 是否放行 OPTIONS 方法（常见于反向代理未透传）
• config/cors.php 修改后没生效 → 执行 php artisan config:clear
• supports_credentials => true 但 allowed_origins 写了 ['*'] → 浏览器直接拒绝，报错明确提示
• 前端 fetch 或 axios 用了 withCredentials: true，而后端没设 Access-Control-Allow-Credentials → 预检失败

不复杂但容易忽略。