Laravel 9.5配置HandleCors仍报CORS错误，求解决方案

针对你遇到的Postman请求正常、浏览器控制台直接请求正常但React应用预检失败的现象，按以下步骤排查解决：

• 调整HandleCors中间件顺序
  全局中间件的执行顺序直接影响预检请求的处理，必须把HandleCors放在数组最顶部，确保OPTIONS请求优先被CORS逻辑处理，避免被Auth、路由拦截等其他中间件提前阻断。修改app/Http/Kernel.php的$middleware数组：

  protected $middleware = [
      \Illuminate\Http\Middleware\HandleCors::class, // 移至第一个位置
      // 其他中间件...
  ];
  

• 检查VPS服务器（Nginx/Apache）配置
  部署在VPS上时，服务器可能先于Laravel拦截OPTIONS请求，导致CORS头未正确返回：

  • 若使用Nginx，在站点配置中添加OPTIONS请求处理规则：

    location / {
        if ($request_method = 'OPTIONS') {
            add_header Access-Control-Allow-Origin "*";
            add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
            add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With";
            return 204;
        }
        # 其他原有配置...
    }
    

    修改后重启Nginx：sudo systemctl restart nginx
  • 若使用Apache，确保启用mod_headers模块，在.htaccess或站点配置中添加：

    Header always set Access-Control-Allow-Origin "*"
    Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
    Header always set Access-Control-Allow-Headers "Content-Type, Authorization"
    
    <IfModule mod_rewrite.c>
        RewriteEngine On
        RewriteCond %{REQUEST_METHOD} OPTIONS
        RewriteRule ^(.*)$ $1 [R=204,L]
    </IfModule>
    

• 核对React请求配置与Laravel CORS设置
  确保React请求的配置和config/cors.php完全匹配：

  • 若React请求中设置了withCredentials: true，必须将Laravel的supports_credentials改为true，否则会触发CORS权限错误
  • 确认请求头没有特殊格式的自定义字段（虽然你设置了allowed_headers: ['*']，但部分场景下仍可能触发隐性拦截）

• 清除Laravel配置缓存
  修改CORS配置或中间件后，必须清除缓存确保新配置生效：

  php artisan config:clear
  php artisan cache:clear
  

• 排查路径匹配问题
  临时将config/cors.php中的paths改为['*']测试，验证是否是路径规则不匹配导致预检请求未被Laravel的CORS中间件处理：

  'paths' => ['*'],
  

  若测试有效，再逐步调整回原有路径规则，排查是否遗漏了目标请求路径。

• 检查其他中间件干扰
  排查全局中间件中是否有自定义中间件在HandleCors之前执行，并且直接返回了响应（如403、重定向），导致OPTIONS预检请求未被CORS逻辑处理。可临时注释其他全局中间件，逐个排查定位问题。

内容的提问来源于stack exchange，提问作者Misbah Ahmad