添加CORS中间件后基于Token的认证失效，如何兼顾跨域与认证？

我之前也碰到过类似的坑——按网上的CORS配置做完后，发现认证完全失效，随便发请求都能进受保护的API。结合你的情况，问题大概率出在中间件顺序、路由分组逻辑，或者OPTIONS预检请求的处理上，下面一步步帮你修复：

1. 先理清核心问题根源 #

你说和SO上的答案代码完全一致，但认证失效，大概率是这两个原因：

• 你把CORS中间件加到了全局中间件，但受保护的路由没正确应用auth:api中间件；
• CORS中间件的写法导致跳过了后续的认证逻辑，或者OPTIONS预检请求被认证中间件拦截，浏览器直接报错但你没注意。

2. 正确配置步骤 #

步骤1：注册CORS中间件 #

打开app/Http/Kernel.php，在$routeMiddleware数组里注册你的CORS中间件（不要加到全局中间件$middleware里，除非所有路由都需要CORS）：

protected $routeMiddleware = [
    // 其他默认中间件...
    'cors' => \App\Http\Middleware\Cors::class,
    'auth:api' => \App\Http\Middleware\Authenticate::class,
];

步骤2：修正CORS中间件代码 #

关键点：先处理OPTIONS预检请求（浏览器自动发起，不带Token），再让其他请求走认证流程，最后设置响应头。替换你的CORS中间件代码：

<?php

namespace App\Http\Middleware;

use Closure;

class Cors
{
    public function handle($request, Closure $next)
    {
        // 优先处理OPTIONS预检请求：这类请求不会带Authorization头，直接返回允许的响应
        if ($request->isMethod('OPTIONS')) {
            return response()
                ->header('Access-Control-Allow-Origin', '*')
                ->header('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS')
                ->header('Access-Control-Allow-Headers', 'Content-Type, Authorization')
                ->header('Access-Control-Max-Age', 3600); // 缓存预检结果1小时，减少重复请求
        }

        // 非OPTIONS请求：先执行后续中间件（包括auth:api认证），再设置CORS头
        $response = $next($request);
        
        $response->headers->set('Access-Control-Allow-Origin', '*');
        $response->headers->set('Access-Control-Allow-Methods', 'GET, POST, PUT, DELETE, OPTIONS');
        $response->headers->set('Access-Control-Allow-Headers', 'Content-Type, Authorization');

        return $response;
    }
}

步骤3：正确配置路由分组 #

打开routes/api.php，严格区分公开路由和受保护路由，确保受保护路由同时应用cors和auth:api中间件（顺序很重要：cors在前，先处理跨域，再做认证）：

// 公开API：不需要Token，只需要CORS的话可以加cors中间件
Route::group(['middleware' => 'cors'], function () {
    Route::get('/public/info', [PublicController::class, 'getInfo']);
});

// 受保护API：必须携带有效Token才能访问
Route::group(['middleware' => ['cors', 'auth:api']], function () {
    Route::get('/user/profile', [UserController::class, 'getProfile']);
    Route::post('/order/create', [OrderController::class, 'createOrder']);
    // 其他需要认证的接口...
});

步骤4：验证认证逻辑 #

在你的控制器方法里，可以主动验证用户是否已认证，确保逻辑生效：

public function getProfile(Request $request)
{
    // 强制验证用户身份，未认证会自动返回401
    $user = auth()->user();
    if (!$user) {
        return response()->json(['error' => '未授权访问'], 401);
    }

    return response()->json([
        'data' => $user->only('id', 'name', 'email'),
        'message' => '认证成功'
    ]);
}

3. 测试验证 #

• 不带Token请求受保护接口：应该返回401 Unauthorized；
• 携带有效Token请求：正常返回数据，且响应头包含access-control-allow-origin: *；
• 浏览器发起跨域请求：预检OPTIONS请求返回200，实际请求正常执行认证逻辑。

内容的提问来源于stack exchange，提问作者JacopoStanchi