SecurityError: Отказано в доступе к свойству для объекта перекрестного происхождения laravel/javascript

Question

У меня есть приложение Laravel. у меня есть два URL

Route::get('/', function () {
    return view('welcome');
});

Route::get('/pdf', function () {
    $headers = [
        'Access-Control-Allow-Origin' => 'http://cms.test'
    ];
    return response()->file('test.pdf', $headers);
});

внутри добро пожаловать, я добавил iframe

<iframe src="{{ url('pdf') }}" width="100%" height="80%" id="test_frame" ></iframe>

теперь, когда я делаю

window.frames["test_frame"].contentWindow

это дает Restricted http://cms.test/pdf:Object

и когда я пытаюсь получить доступ к любому свойству в contentWindow, я получаю

SecurityError: Permission denied to access property "getSelections" on cross-origin object

я попробовал пакет "barryvdh/laravel-cors": "^0.11.2",

пожалуйста помоги. Я не знаю, откуда у меня разное происхождение?

Отредактировано: теперь я знаю, что document.URL из iframe "о: пусто"