Laravel中配置OIDC well-known接口并解决CORS跨域限制问题

可以针对.well-known路由单独放开CORS限制，同时保持其他路由的原有安全策略，以下是两种可行方案：

方案一：通过CORS配置文件实现路由级规则 #

修改config/cors.php，利用回调函数针对不同路径返回不同的CORS规则：

// config/cors.php
return [
    'paths' => ['api/*', '.well-known/*'],

    'allowed_methods' => ['*'],

    'allowed_origins' => function ($request) {
        // 匹配.well-known开头的路径，允许所有来源
        if (str_starts_with($request->path(), '.well-known/')) {
            return ['*'];
        }
        // 其他路由使用预设的允许来源列表
        return explode(',', env('ALLOWED_ORIGINS', 'http://localhost'));
    },

    'allowed_origins_patterns' => [],

    'allowed_headers' => ['*'],

    'exposed_headers' => [],

    'max_age' => 0,

    'supports_credentials' => false,
];

这种方式无需新增中间件，直接通过配置文件区分路由规则，简洁高效。

方案二：自定义中间件单独控制.well-known路由 #

如果需要更灵活的逻辑控制，可以创建专属中间件：

1. 生成中间件

php artisan make:middleware AllowAllOriginsForWellKnown

2. 编写中间件逻辑

// app/Http/Middleware/AllowAllOriginsForWellKnown.php
namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class AllowAllOriginsForWellKnown
{
    public function handle(Request $request, Closure $next)
    {
        $response = $next($request);
        
        // 设置全量允许的CORS响应头
        $response->header('Access-Control-Allow-Origin', '*');
        $response->header('Access-Control-Allow-Methods', 'GET, HEAD, OPTIONS');
        $response->header('Access-Control-Allow-Headers', '*');
        
        return $response;
    }
}

3. 注册中间件
   在app/Http/Kernel.php的routeMiddleware数组中添加：

protected $routeMiddleware = [
    // ...已有的中间件
    'cors.all' => \App\Http\Middleware\AllowAllOriginsForWellKnown::class,
];

4. 绑定路由
   在路由文件（如routes/web.php）中为.well-known路由组应用该中间件，同时排除全局CORS中间件（如果全局启用了的话）：

Route::prefix('.well-known')
    ->middleware('cors.all')
    ->withoutMiddleware(['cors']) // 避免与全局CORS中间件冲突
    ->group(function () {
        // 注册你的OIDC配置路由
        Route::get('/openid-configuration', [OidcController::class, 'showConfiguration']);
        // 其他.well-known下的路由
    });

两种方案都能实现仅放开.well-known路由的跨域限制，其他路由仍遵循原有CORS策略，兼顾安全性与动态性。

内容的提问来源于stack exchange，提问作者DellanX