为什么 Laravel API 返回 403 或空响应，但前端控制台没报 CORS 错误？
常见现象是前端发 POST 或带 Authorization 头的请求时，Laravel 直接返回 403、419 或空白响应，Network 面板里看不到预检（OPTIONS）请求成功 —— 这往往不是 CORS 配置问题，而是 Laravel 中间件顺序或 CSRF 保护干扰了预检流程。
VerifyCsrfToken 中间件默认会拦截所有非 GET/HEAD 请求，包括浏览器自动发出的 OPTIONS 预检请求（即使没带 token），导致预检失败，后续请求被浏览器直接拦掉解决办法：在 app/Http/Middleware/VerifyCsrfToken.php 的 $except 数组里明确放行 API 路由前缀，比如 ‘api/*’别只改 cors.php 配置，不关 CSRF，CORS 设置根本没机会生效
Laravel 9+ 的 fruitcake/laravel-cors 怎么配才真正生效？
这个包从 Laravel 7 起被官方推荐，但默认配置容易漏关键项，尤其在生产环境或 Nginx 下。
确认已运行 php artisan vendor:publish –provider="Fruitcake\Cors\CorsServiceProvider"，生成 config/cors.php重点检查 ‘supports_credentials’ => true —— 如果前端用了 withCredentials: true（比如传 Cookie 或 Bearer token），这项必须为 true，否则浏览器拒绝响应’allowed_origins’ 别写 [‘*’] 配合 supports_credentials，这会直接报错：浏览器不允许凭据模式下用通配符 originNginx 用户注意：确保没在 server 块里手动加 add_header Access-Control-Allow-Origin …，和 PHP 层重复会导致响应头冲突，出现 Access-Control-Allow-Origin 多个值的错误
API 路由没走 Cors 中间件？检查中间件注册位置
很多项目把 API 路由写在 routes/api.php，却忘了它默认走的是 api 中间件组，而 Cors 不在该组里 —— 它只在全局中间件或显式指定时才生效。
打开 app/Http/Kernel.php，确认 Cors::class 在 $middleware 数组里（全局启用），或者至少在 $middlewareGroups[‘api’] 里如果只希望部分接口跨域，别依赖中间件组，直接在路由定义里加： ->middleware([‘cors’, ‘auth:sanctum’])用 php artisan route:list 检查目标路由是否真有 cors 中间件，避免因命名空间或路由分组嵌套导致遗漏
前端发 fetch 请求仍被拦，但后端日志显示 200？
这是典型的“响应发出去了，但浏览器没接收”，根本原因几乎都在响应头缺失或不匹配。
用浏览器 Network 面板点开请求 → Headers 标签页，逐项核对：Access-Control-Allow-Origin 值是否和前端 Origin 完全一致（协议、域名、端口）如果前端带 Authorization 头，后端必须返回 Access-Control-Allow-Headers: Authorization，且 cors.php 中 ‘allowed_headers’ 要包含它（默认是 [‘*’]，但某些旧版内核不支持通配符，建议写死 [‘Content-Type’, ‘Authorization’]）预检请求（OPTIONS）返回状态码必须是 200，不能是 301/302 重定向，否则浏览器视为失败；Nginx 或 Cloudflare 的自动 HTTPS 重定向常在这里挖坑实际跑通的关键，往往卡在 CSRF 和预检响应头的配合上，而不是 CORS 包本身。调不通时，先看 OPTIONS 请求有没有被 403 或 419 拦住，再看响应头有没有漏字段 —— 其他都是锦上添花。
评论(0)