二级子域名访问一级子域名遇CORS问题求助（Laravel环境）

1. 修正存储文件的URL生成逻辑 #

问题核心是预览时的文件URL指向了一级子域名，而非当前租户的二级子域名，导致跨域。需要确保生成预览链接时关联租户上下文：

• 检查生成文件预览URL的代码，比如使用Storage::url()时，确认存储磁盘的url配置已动态关联租户域名。可以在租户初始化钩子中设置：

// 在TenancyServiceProvider或租户中间件中
Tenancy::hook('booted', function (Tenant $tenant) {
    config([
        'filesystems.disks.public.url' => "https://{$tenant->domain}/storage",
        // 如果用云存储，同步调整对应磁盘的url配置
    ]);
});

• 若手动拼接预览URL，直接使用租户域名：

<x-splade-filepond name="attachment" preview-url="https://{{ tenant()->domain }}/storage/{{ $file->relative_path }}" />

2. 确保CORS配置正确生效 #

即使配置了允许所有源，也要验证Laravel的CORS中间件覆盖了存储路由：

• 检查config/cors.php，确保paths包含/storage/*，关键配置如下：

return [
    'paths' => ['api/*', 'sanctum/csrf-cookie', '/storage/*'],
    'allowed_methods' => ['*'],
    'allowed_origins' => ['*'],
    'allowed_headers' => ['*'],
    'supports_credentials' => true,
];

• 确认app/Http/Kernel.php的api中间件组包含\Illuminate\Http\Middleware\HandleCors::class，且存储路由（如Route::get('/storage/{path}', ...)）应用了该中间件组。

3. 配置Filepond的跨域请求参数 #

如果预览URL已正确但仍触发CORS，需要调整Filepond的请求配置：

• 在Splade的Filepond组件中，通过options传递跨域相关参数：

<x-splade-filepond 
    name="attachment" 
    :preview-url="$file->preview_url"
    :options="[
        'server' => [
            'cors' => true,
            'withCredentials' => true
        ]
    ]"
/>

4. 验证服务器层面的跨域配置（非内置开发服务器） #

若使用Nginx/Apache，需确保服务器未覆盖Laravel的CORS响应头：

• Nginx示例（租户域名的server块）：

# 若开启了supports_credentials，不能用*，需动态匹配请求源
add_header Access-Control-Allow-Origin $http_origin;
add_header Access-Control-Allow-Credentials true;
add_header Access-Control-Allow-Methods *;
add_header Access-Control-Allow-Headers *;

内容的提问来源于stack exchange，提问作者SOIX