1. 为什么Spring Boot项目必须处理跨域问题？

前两天帮同事排查一个前后端联调故障，发现又是经典的跨域报错。作为Web开发中的高频痛点，跨域问题几乎每个项目都会遇到。当浏览器控制台出现"Access-Control-Allow-Origin"红色报错时，意味着我们的Spring Boot应用需要正确配置CORS策略。

跨域问题本质是浏览器的同源策略限制。举个例子：前端服务运行在http://localhost:8080，后端API部署在http://api.example.com。当8080端口的页面请求api.example.com的接口时，浏览器会拦截这次请求——即使后端已经收到了请求并返回了数据。这种安全机制防止了恶意网站窃取用户数据，但也给合法的前后端分离架构带来了麻烦。

2. 四种主流解决方案深度对比

2.1 注解方案：@CrossOrigin

这是最轻量级的解决方案，适合快速验证场景。在Controller类或方法上添加注解即可：

@RestController @CrossOrigin(origins = "http://localhost:8080") public class UserController { @GetMapping("/users") @CrossOrigin(maxAge = 3600) // 可覆盖类级别配置 public List<User> listUsers() { // ... } }

核心参数解析：

• origins：允许的源列表，多个用逗号分隔
• methods：允许的HTTP方法，默认GET/POST/HEAD
• maxAge：预检请求缓存时间（秒）
• allowCredentials：是否允许携带凭证（如cookies）

实测发现：当使用allowCredentials=true时，origins不能设为"*"，必须明确指定域名

2.2 全局配置：WebMvcConfigurer

更适合生产环境的方案，通过实现WebMvcConfigurer接口统一管理：

@Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/api/**") .allowedOrigins("https://production-domain.com") .allowedMethods("GET", "POST", "PUT") .allowCredentials(true) .maxAge(1800); } }

配置技巧：

1. 路径匹配支持Ant风格（如/api/**）
2. 建议生产环境关闭allowedOrigins("*")
3. 对于OAuth2等需要凭证的场景必须设置allowCredentials(true)

2.3 过滤器方案：CorsFilter

更底层的实现方式，适合需要精细控制的场景：

@Bean public CorsFilter corsFilter() { UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource(); CorsConfiguration config = new CorsConfiguration(); config.setAllowCredentials(true); config.addAllowedOrigin("http://trusted-domain.com"); config.addAllowedHeader("*"); config.addAllowedMethod("*"); source.registerCorsConfiguration("/**", config); return new CorsFilter(source); }

与WebMvcConfigurer的区别：

• 执行时机更早（Filter优先级高于Controller）
• 可以组合其他Filter逻辑
• 支持更复杂的条件判断

2.4 网关层方案：Nginx配置

当前端与API分别部署时，可在Nginx统一处理：

server { listen 80; server_name api.example.com; location / { add_header 'Access-Control-Allow-Origin' '$http_origin'; add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS'; add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,Content-Type'; add_header 'Access-Control-Max-Age' 1728000; if ($request_method = 'OPTIONS') { return 204; } proxy_pass http://spring-boot-app:8080; } }

性能优化点：

• 使用$http_origin动态匹配来源
• 对OPTIONS请求直接返回204（节省后端资源）
• 适当增大maxAge减少预检请求

3. 方案选型决策树

根据项目特点选择合适方案：

是否需要精细控制？ → 是 → CorsFilter ↓ 否 ↓ 是否前后端同项目？ → 是 → @CrossOrigin ↓ 否 ↓ 是否使用API网关？ → 是 → Nginx配置 ↓ 否 ↓ 使用WebMvcConfigurer

4. 实战中的坑与解决方案

4.1 多配置冲突问题

当同时存在注解和全局配置时，Spring会合并配置而非覆盖。我曾遇到过@CrossOrigin和WebMvcConfigurer同时生效导致配置混乱的情况。建议项目统一采用一种方案。

4.2 预检请求(OPTIONS)处理

对于复杂请求（如Content-Type为application/json），浏览器会先发OPTIONS请求。常见问题包括：

• 未正确返回204状态码
• 缺少必要的CORS头
• Spring Security拦截了OPTIONS请求

解决方案：

@Configuration @EnableWebSecurity public class SecurityConfig { @Bean SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http.cors().and() .authorizeRequests() .requestMatchers(HttpMethod.OPTIONS).permitAll() // 其他配置... return http.build(); } }

4.3 带凭证的跨域请求

当请求需要携带cookies或认证头时：

1. 服务端必须设置allowCredentials(true)
2. 客户端需要设置withCredentials: true（Axios示例）：

axios.get('http://api.example.com/data', { withCredentials: true })

3. 不能使用通配符*作为origin

5. 高级场景解决方案

5.1 动态Origin白名单

对于SaaS类应用，可能需要动态验证origin：

@Bean public WebMvcConfigurer corsConfigurer() { return new WebMvcConfigurer() { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**") .allowedMethods("*") .allowedOriginPatterns("*") // Spring Boot 2.4+新特性 .allowCredentials(true) .allowedHeaders("*") .exposedHeaders("Authorization") .maxAge(3600); } }; }

5.2 WebSocket跨域处理

在WebSocket连接中同样存在跨域问题：

@Configuration @EnableWebSocket public class WebSocketConfig implements WebSocketConfigurer { @Override public void registerWebSocketHandlers(WebSocketHandlerRegistry registry) { registry.addHandler(myHandler(), "/ws") .setAllowedOrigins("http://allowed-domain.com") .withSockJS(); // 如果使用SockJS } }

5.3 测试环境特殊处理

开发阶段可以开启宽松配置，但需注意安全：

@Profile("dev") @Configuration public class DevCorsConfig { @Bean public WebMvcConfigurer devCorsConfigurer() { return new WebMvcConfigurer() { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**") .allowedMethods("*") .allowedOrigins("*"); } }; } }

6. 安全加固建议

1. 生产环境务必指定具体origin而非*
2. 限制不必要的HTTP方法（如禁用TRACE）
3. 对敏感头部（如Authorization）设置exposedHeaders
4. 合理设置maxAge平衡安全性与性能
5. 结合CSRF防护策略使用

在Spring Boot 3.x中，安全配置更为严格。建议参考官方文档对CORS与Security的集成配置进行测试。