为什么Laravel需要在服务端进行CORS校验？

你贴的代码是fruitcake/laravel-cors包中对实际业务请求的CORS校验逻辑，Laravel之所以要在服务端做这层校验，核心原因如下：

• 符合CORS规范的核心要求
  CORS协议本身就定义了服务端的校验义务：不管是预检OPTIONS请求，还是实际业务请求，服务端都需要先校验请求的Origin、请求方法、自定义请求头等信息是否符合规则，再决定是否返回对应的Access-Control-*响应头。如果没有服务端的校验逻辑，就无法动态生成符合规则的CORS响应头，浏览器的CORS拦截也就没有执行依据。
• 拦截绕开浏览器限制的非法请求
  浏览器的CORS限制只对浏览器环境内的前端请求生效，如果攻击者用curl、Postman、自定义脚本等方式直接发起请求，完全可以绕开浏览器的CORS规则直接访问服务端接口。服务端增加CORS校验逻辑可以直接拦截不符合Origin规则的请求，提前返回403错误，避免后续业务逻辑被非法执行，降低安全风险。
• 降低开发者维护成本，实现统一管控
  Laravel把CORS校验逻辑封装在中间件中，开发者只需要修改配置文件就可以自定义允许的Origin、请求方法、头等规则，还可以灵活指定哪些路由组需要走CORS校验，不需要每个接口单独处理响应头，也不用在Web服务器层（Nginx/Apache）做零散配置，统一管理的出错率更低，适配性也更强。
• 减少不必要的资源消耗
  如果请求本身不符合CORS规则，服务端在校验阶段就直接返回错误，不需要执行后续的业务逻辑、数据库操作等流程，能节省服务端资源。

内容的提问来源于stack exchange，提问作者Ali