CORS请求在Chrome正常，Safari/Firefox异常问题排查

我之前排查过类似的跨域场景问题，结合Laravel 5.6+的CORS逻辑，给你几个针对性的排查和解决方向：

1. 确认CORS中间件的路由覆盖范围 #

首先检查你的CORS中间件是不是只应用在了/login路由上，漏掉了/user：

• 打开app/Http/Kernel.php，看看api或web中间件组里有没有包含CORS中间件（比如常用的barryvdh/laravel-cors包的cors中间件）；
• 如果是手动给路由单独加中间件，确认/user路由是否也添加了->middleware('cors')，比如：

  Route::get('/user', 'UserController@show')->middleware('cors');
  

2. 处理浏览器预检请求差异 #

Firefox和Safari对跨域GET请求的预检规则更严格，Chrome可能在某些场景下跳过OPTIONS预检：

• 打开Firefox网络面板，筛选OPTIONS请求，看看/user对应的OPTIONS请求是否有正确响应，响应头里必须包含Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Credentials这些字段；
• 如果你用的是barryvdh/laravel-cors，检查config/cors.php配置：
  • supportsCredentials要设为true（因为登录后请求带认证凭证）；
  • allowedOrigins不能用通配符*，必须写死前端的具体域名（比如http://localhost:3000）；
  • allowedMethods要包含GET方法。

3. 认证凭证的跨域配置 #

登录后请求/user会携带认证信息（比如session cookie），这部分的跨域规则容易踩坑：

• 前端请求要带上withCredentials: true（比如Axios的配置：axios.defaults.withCredentials = true）；
• Laravel的config/session.php里，same_site属性建议设为lax或者none（Sierra系统的Safari对strict的SameSite兼容性差，会阻止跨域cookie发送）；
• 临时关闭Safari的「阻止跨站跟踪」隐私设置，测试是否是这个选项导致cookie无法传递。

4. 调试Laravel响应流程 #

如果以上都没问题，可以直接在/user的控制器方法里手动添加CORS头测试：

public function show()
{
    $user = auth()->user();
    return response()->json($user)
        ->header('Access-Control-Allow-Origin', 'http://你的前端域名')
        ->header('Access-Control-Allow-Credentials', 'true');
}

如果手动加头后浏览器能正常获取到响应头，说明问题出在CORS中间件没有正确应用到该路由；如果还是没有，那可能是服务器（Nginx/Apache）的配置覆盖了Laravel的响应头，检查服务器配置里有没有手动添加或移除CORS相关字段。

内容的提问来源于stack exchange，提问作者Ali Gajani