Spring Boot 应用中 CORS 配置被忽略，通常因安全配置与 WebMvc 配置冲突所致；本文详解如何通过 SecurityFilterChain 正确集成 CORS，并避免 @EnableWebMvc 误用、头信息重复设置等典型陷阱。
spring boot 应用中 cors 配置被忽略，通常因安全配置与 webmvc 配置冲突所致；本文详解如何通过 `securityfilterchain` 正确集成 cors，并避免 `@enablewebmvc` 误用、头信息重复设置等典型陷阱。
在 Spring Boot 2.7+（尤其是基于 Spring Security 6 的现代配置）中，CORS 必须与 SecurityFilterChain 协同工作，而非依赖 WebMvcConfigurer.addCorsMappings() —— 后者仅对 Spring MVC 层生效，会被 Spring Security 的 CORS 处理逻辑覆盖或忽略。你当前的配置看似完整，但存在几个关键问题：
✅ 核心问题诊断
-
@EnableWebMvc不应添加：该注解会禁用 Spring Boot 的自动 MVC 配置（包括默认的CorsConfigurationSource注册），导致自定义corsConfigurationSource()被绕过；切勿在配置类上加@EnableWebMvc（尤其不是 Controller 类级别——原答案中“Place@EnableWebMvcat Controller Level”是严重错误，Controller 上无法使用该注解，且会破坏整个 MVC 配置）。 -
allowedHeaders设置不当：你手动指定了大量如Access-Control-Allow-Origin等响应头——这些是响应头（Response Headers），不应出现在setAllowedHeaders()中（该方法只接受客户端请求中允许携带的请求头，如Authorization,Content-Type）。混用会导致预检失败。 -
exposedHeaders过度冗余：Access-Control-Allow-Origin等由 Spring 自动设置，无需显式暴露；仅需暴露前端 JS 实际需要读取的自定义响应头（如X-Total-Count,X-RateLimit-Remaining）。 -
application.properties配置未验证：确保cors.allowed-origins=http://your-frontend.com（注意协议+域名，不能为*且allowCredentials=true时禁止使用*）。
✅ 推荐修正配置（Spring Security 6+）
@Configuration
@EnableWebSecurity
public class SecurityConfiguration {
@Value("${cors.allowed-origins}")
private String[] allowedOrigins; // 推荐用 String[]，更易绑定逗号分隔值
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
http
.csrf(csrf -> csrf.disable())
.cors(cors -> cors.configurationSource(corsConfigurationSource())) // ✅ 显式启用并注入
.authorizeHttpRequests(authz -> authz
.requestMatchers("/**").permitAll()
);
return http.build();
}
@Bean
public CorsConfigurationSource corsConfigurationSource() {
CorsConfiguration config = new CorsConfiguration();
config.setAllowedOrigins(Arrays.asList(allowedOrigins)); // ✅ 严格限定来源
config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS", "HEAD"));
config.setAllowCredentials(true); // ✅ 若需 Cookie/认证头
// ✅ 正确设置：仅声明客户端可发送的请求头（非响应头！）
config.setAllowedHeaders(Arrays.asList(
"Content-Type", "Authorization", "X-Requested-With",
"Accept", "Origin", "X-Auth-Token"
));
// ✅ 按需暴露：仅前端 JS 需通过 xhr.getResponseHeader() 读取的响应头
config.setExposedHeaders(Arrays.asList("X-Total-Count", "X-Request-ID"));
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", config);
return source;
}
}
✅ application.yml 示例（推荐 YAML 格式）
cors: allowed-origins: http://your-production-frontend.com,https://staging.example.com
⚠️ 关键注意事项
- *
allowCredentials=true时，allowedOrigins绝对不可为 `[""]`**，否则 Spring Security 会静默拒绝配置，返回 403 或无 CORS 头。 -
浏览器预检（OPTIONS）必须成功响应：确保
/v1/**等路径未被其他过滤器拦截；Spring Security 默认放行 OPTIONS 请求，无需额外配置。 -
验证是否生效：用
curl -H "Origin: http://your-frontend.com" -I http://localhost:8080/api/test检查响应头是否含Access-Control-Allow-Origin: http://your-frontend.com。 -
移除所有
@EnableWebMvc和WebMvcConfigurer中的addCorsMappings()：二者与 Security 的 CORS 冲突，保留其一即可（推荐 Security 方式，更安全统一）。
正确配置后，API 将严格按 allowedOrigins 白名单响应 CORS 请求，彻底解决“配置被忽略”问题。
