Laravel+Zeabur CI/CD部署遭遇CORS跨域问题求助

针对你遇到的常规部署正常、但Zeabur Docker构建后出现origin url has been blocked by CORS policy: Request header field content-type is not allowed by Access-Control-Allow-Headers in preflight response错误，按以下步骤排查解决：

1. 确认Laravel CORS配置文件有效性 #

检查config/cors.php的关键配置项：

• 确保allowed_headers明确包含Content-Type：

  'allowed_headers' => ['Content-Type', 'X-Requested-With', 'Authorization'],
  

• 确认paths覆盖所有需要CORS的路由（比如['api/*']或['*']）
• 确保allowed_methods包含OPTIONS方法

2. 检查CORS中间件注册 #

打开app/Http/Kernel.php，确认CORS中间件（Laravel自带的HandleCors或你自定义的中间件）在**全局中间件数组$middleware**中注册，而非仅在路由中间件组里——因为OPTIONS预请求可能不会触发路由中间件组的规则：

protected $middleware = [
    // ...其他中间件
    \App\Http\Middleware\HandleCors::class,
];

3. 验证Docker构建时配置文件是否正确复制 #

• 检查Dockerfile，确保config/cors.php、app/Http/Kernel.php等配置文件未被.dockerignore排除，且已正确复制到容器内的Laravel项目目录
• 可以进入运行中的容器验证配置：

  docker exec -it <你的容器ID> cat /var/www/html/config/cors.php
  

4. 排查Zeabur平台的反向代理干扰 #

部分PaaS平台会自带CORS处理逻辑，可能覆盖应用返回的响应头：

• 进入Zeabur的应用设置页面，查看是否有平台级的CORS配置项
• 如果存在，要么将Content-Type添加到平台允许的请求头列表，要么关闭平台的CORS自动处理，让Laravel应用自行处理

5. 容器内Nginx强制配置CORS（若使用Nginx作为Web服务器） #

如果你的Docker镜像用Nginx托管Laravel，在Nginx配置文件的server块中添加CORS规则：

location / {
    add_header Access-Control-Allow-Origin <你的前端域名>; # 替换为实际域名，比*更安全
    add_header Access-Control-Allow-Methods 'GET, POST, PUT, DELETE, OPTIONS';
    add_header Access-Control-Allow-Headers 'Content-Type, Authorization, X-Requested-With';

    if ($request_method = OPTIONS) {
        return 204;
    }
    # ...其他Nginx配置（比如转发PHP请求到FPM）
}

确保Dockerfile将该配置文件复制到Nginx的配置目录（比如/etc/nginx/conf.d/default.conf）

6. 验证预请求响应头 #

打开浏览器开发者工具的Network标签，找到触发CORS错误的OPTIONS预请求，查看Response Headers中的Access-Control-Allow-Headers是否包含Content-Type：

• 如果不包含，说明前面的配置未生效，回头排查中间件注册、配置文件加载或平台代理的问题
• 如果包含，检查前端请求的Content-Type是否在允许范围内（比如不要用multipart/form-data这类未配置的头）

内容的提问来源于stack exchange，提问作者bright-webb