无需修改S3 Bucket CORS策略解决Laravel API的S3图片下载跨域问题

因为无法修改S3 Bucket的CORS策略，且单独配置中间件会导致原有CORS规则冲突，最可靠的方式是让Laravel作为代理层，前端请求Laravel路由，由后端从S3获取图片后返回给前端，彻底绕过直接请求S3的跨域问题。

步骤1：调整路由（保留原有CORS配置） #

把图片下载路由留在原有cors中间件组内，无需新增独立的AwsCors中间件，避免冲突：

Route::group(['middleware' => ['cors']], function () {
    // 其他原有API接口...
    Route::get('images/{uuid}', 'App\Http\Controllers\Web\Authenticated\API\ArchiveController@procesoImages')->name('archive-images');
});

步骤2：修改控制器方法，实现后端代理下载 #

利用Laravel的S3存储驱动，从S3读取图片并以流式响应返回给前端。这样前端请求的是你的API域名，完全符合原有CORS规则：

use Illuminate\Support\Facades\Storage;
use Symfony\Component\HttpFoundation\StreamedResponse;
use Illuminate\Http\NotFoundException;

public function procesoImages($uuid)
{
    // 根据UUID查询图片记录
    $image = \App\Models\YourImageModel::where('uuid', $uuid)->first();
    
    if (!$image) {
        throw new NotFoundException('图片不存在');
    }

    // 从S3 URL中提取文件Key（示例：从https://xxx.s3.amazonaws.com/xxx.jpg中取出xxx.jpg）
    $s3BaseUrl = 'https://abcdefg.s3.us-east-2.amazonaws.com/';
    $s3FileKey = str_replace($s3BaseUrl, '', $image->url);

    // 初始化S3磁盘
    $s3Disk = Storage::disk('s3');

    if (!$s3Disk->exists($s3FileKey)) {
        throw new NotFoundException('S3中不存在该图片');
    }

    // 获取文件信息
    $mimeType = $s3Disk->mimeType($s3FileKey);
    $fileName = basename($s3FileKey);

    // 返回流式下载响应
    return new StreamedResponse(function () use ($s3Disk, $s3FileKey) {
        $stream = $s3Disk->readStream($s3FileKey);
        fpassthru($stream);
        is_resource($stream) && fclose($stream);
    }, 200, [
        'Content-Type' => $mimeType,
        'Content-Disposition' => 'attachment; filename="'.$fileName.'"', // 改为inline则在线显示，attachment触发下载
        'Cache-Control' => 'public, max-age=31536000',
    ]);
}

关键说明 #

1. 避免CORS冲突：所有接口都沿用原有cors中间件，无需额外配置，不会影响其他前端接口的CORS规则。
2. 后端无跨域限制：Laravel作为后端服务请求S3时，不受浏览器CORS策略约束，能正常读取S3资源。
3. 灵活控制响应：通过Content-Disposition头可自由切换在线预览或强制下载，适配不同业务需求。

内容的提问来源于stack exchange，提问作者Goktug