corsfilter 不依赖环境变量，其配置必须通过 web.xml 的 显式声明；环境变量对 cors 响应头无任何影响，浏览器跨域拦截由响应头控制，tomcat 不读取环境变量生成 cors 头。
CorsFilter 不依赖环境变量，Tomcat 跨域配置不通过环境变量生效 —— 所有主流方案都基于 XML 配置、Filter 注册或应用代码，环境变量对 CORS 头无直接影响。
为什么改环境变量没用？
浏览器跨域拦截发生在 HTTP 协议层，由响应头（如 Access-Control-Allow-Origin）控制；Tomcat 本身不读取 TOMCAT_HOME 或 JAVA_OPTS 这类环境变量来生成 CORS 响应头。即使你 export 了 CORS_ALLOWED_ORIGINS=*，CorsFilter 也完全不会识别它。
CorsFilter 的参数必须写在 web.xml 里
Tomcat 内置的 org.apache.catalina.filters.CorsFilter 只从 <init-param></init-param> 标签中读取配置，例如：
<filter><filter-name>CorsFilter</filter-name><filter-class>org.apache.catalina.filters.CorsFilter</filter-class><init-param><param-name>cors.allowed.origins</param-name><param-value>https://your-app.com</param-value></init-param><init-param><param-name>cors.support.credentials</param-name><param-value>true</param-value></init-param></filter>
-
cors.allowed.origins必须显式指定，不能留空或靠环境变量注入 - 若用
*，则cors.support.credentials必须为false，否则浏览器拒绝凭据请求 -
cors.allowed.headers要包含前端实际发送的自定义头，比如X-Auth-Token，否则预检失败
想动态控制跨域源？别碰环境变量，改用系统属性或 JVM 参数
如果你需要根据部署环境切换允许的源（比如测试服放开 *，生产服锁定域名），可以结合 JVM 启动参数 + EL 表达式（仅 Tomcat 8.5+ 支持）：
启动时加：-Dcors.origin=https://prod.example.com
Refore网页转设计
下载
一款AI图像与设计工具，主要用于一款加速产品 UI 设计迭代的工具，可以一键将任意网页和交互导入到 Pixso、MasterGo、即时设计、Figma，实现像素级还原，适合需要提升相关任务效率的用户。
然后在 web.xml 中写：
<param-value>${cors.origin}</param-value>
- 这依赖 Tomcat 的
org.apache.tomcat.util.digester.Digester对 EL 的解析能力 - 确保
conf/catalina.properties中未禁用digester.allowExternalEntities=false（默认已禁用，不影响此功能） - 不要尝试用
${env.HOME}等环境变量表达式 —— Tomcat 的 web.xml 解析器不支持env命名空间
真正该检查的“环境”是请求路径和 Filter 生效范围
很多问题看似是环境导致，实则是 Filter 没覆盖到目标资源：
-
<url-pattern>/*</url-pattern>只匹配 Servlet 请求，不拦截静态资源（如/js/app.js）—— 若你访问的是 HTML 或 JS 文件报跨域，说明 Filter 未生效于 DefaultServlet - Spring Boot 打包成
jar运行时，conf/web.xml完全不加载，必须用代码配置WebMvcConfigurer.addCorsMappings() - 多个 Filter 共存时（如 Shiro、Spring Security），
CorsFilter必须在它们之前执行，否则响应头可能被覆盖
最常被忽略的一点：Tomcat 9 默认启用 Http11NioProtocol，但某些旧版 CorsFilter 在 HTTP/2 下对预检请求处理异常 —— 如果你启用了 HTTP/2，建议显式设置 cors.preflight.maxage=3600 并确认客户端缓存行为。
