Springboot解决跨域的五种方式

李广坤2025-10-16 16:38

在 Spring Boot 中解决跨域（CORS，Cross-Origin Resource Sharing）问题有 多种方式，适用于不同场景。下面系统地介绍 5 种主流方法，从简单到灵活，附代码示例和适用场景。

方法 1：使用 @CrossOrigin 注解（最简单）

适用场景： 单个 Controller 或方法需要跨域

java 复制代码 
@RestController
@CrossOrigin(origins = "http://localhost:3000") // 允许指定来源
public class UserController {

    @GetMapping("/user")
    public User getUser() {
        return new User("John");
    }

    // 或只对某个方法生效
    @CrossOrigin(origins = "*") // 允许所有来源（生产环境慎用！）
    @PostMapping("/save")
    public String save() {
        return "ok";
    }
}

优点：

  • 简单、直观
  • 可细粒度控制（类级别 or 方法级别）

缺点：

  • 无法全局统一管理
  • 不适合大型项目

✅ 方法 2：全局配置 CORS（推荐！）

适用场景： 整个应用统一处理跨域（最常用）

方式 A：实现 WebMvcConfigurer 接口（Spring Boot 2.x+）

java 复制代码 
@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**") // 拦截所有路径
                .allowedOrigins("*")
                // .allowedOrigins("http://localhost:3000", "https://your-app.com")
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowedHeaders("*")
                // .allowCredentials(true) // 是否允许携带 cookie，⚠️ 注意：这里不能同时设为 true！
                .maxAge(3600); // 预检请求缓存时间（秒）
    }
}

方式 B：使用 @Bean 注册 CorsConfigurationSource

java 复制代码 
@Configuration
public class CorsConfig {

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
        // config.setAllowedOrigins(Arrays.asList("*")); // 👈 允许所有域
        config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        config.setAllowedHeaders(Arrays.asList("*"));
        config.setAllowCredentials(true);
        // config.setAllowCredentials(true); // ⚠️ 不能与 "*" 同时使用！

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return source;
    }
}

优点：

  • 全局生效，配置集中
  • 灵活控制路径、方法、头部等
  • 生产环境推荐方式

✅ 方法 3：通过 Filter 自定义 CORS（底层控制）

适用场景： 需要完全自定义 CORS 响应头，或与 Spring Security 集成

java 复制代码 
@Component
public class CorsFilter implements Filter {

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
            throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;

        // response.setHeader("Access-Control-Allow-Origin", "*");
        // 注意：没有 Allow-Credentials！
        
        response.setHeader("Access-Control-Allow-Origin", "http://localhost:3000");
        response.setHeader("Access-Control-Allow-Credentials", "true");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Headers", "Content-Type, Authorization, X-Requested-With");

        // 如果是预检请求（OPTIONS），直接返回
        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(req, res);
        }
    }
}

⚠️ 注意：如果使用 Spring Security，需确保此 Filter 在 Security Filter 之前执行。

优点：

  • 完全控制响应头
  • 可处理复杂逻辑（如动态 origin）

缺点：

  • 代码较繁琐
  • 容易出错（如漏掉 OPTIONS 处理）

✅ 方法 4：在 application.yml / application.properties 中配置（仅限 Spring Boot 2.4+）

⚠️ 注意：Spring Boot 本身不支持通过配置文件直接开启 CORS！ 但如果你使用 Spring Cloud Gateway 或 某些 starter，可能有扩展支持。

❌ 普通 Spring Boot Web 项目不能这样配置！

所以：不要尝试在 application.yml 里写 cors 配置（除非你用的是特定网关组件）。

场景 1：Spring WebFlux（响应式）项目

✅ application.yml

yaml 复制代码 
spring:
  webflux:
    cors:
      allowed-origins: "*"
      allowed-methods: "GET,POST,PUT,DELETE,OPTIONS"
      allowed-headers: "*"
      max-age: 3600

场景 2：Spring Boot Actuator 端点的 CORS 配置

即使你用的是 Spring MVC，Actuator 的监控端点也支持通过配置文件开启 CORS：

✅ application.yml

yaml 复制代码 
management:
  endpoints:
    web:
      cors:
        allowed-origins: "http://localhost:3000"
        allowed-methods: "*"
        allowed-headers: "*"
项目类型 是否支持 application.yml 配置 CORS 推荐方式
Spring MVC （spring-boot-starter-web） ❌ 不支持 使用 WebMvcConfigurer 或 @CrossOrigin
Spring WebFlux （spring-boot-starter-webflux） ✅ 支持 用 spring.webflux.cors.*
Actuator 端点 ✅ 支持（仅限监控接口） 用 management.endpoints.web.cors.*

✅ 方法 5：结合 Spring Security 配置 CORS（安全场景必备）

如果你的项目用了 Spring Security，必须显式启用 CORS，否则 Security 会拦截 OPTIONS 请求！

java 复制代码 
@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .cors().and() // 👈 关键：启用 CORS 支持
            .csrf().disable()
            .authorizeHttpRequests(auth -> auth
                .anyRequest().permitAll()
            );
        return http.build();
    }

    // 同时提供全局 CorsConfigurationSource
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
        configuration.setAllowedMethods(Arrays.asList("*"));
        configuration.setAllowedHeaders(Arrays.asList("*"));
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

为什么需要？

  • Spring Security 默认不处理 CORS
  • 如果不配置，浏览器预检请求（OPTIONS）会被 Security 拦截 → 跨域失败

🚫 常见错误

问题 说明
allowedOrigins("*") + allowCredentials(true) 冲突 浏览器不允许：Access-Control-Allow-Origin 为 * 时，不能带 cookie。必须指定具体 origin
忘记处理 OPTIONS 请求 预检请求失败，导致跨域报错
CORS 配置被 Security 覆盖 必须在 Spring Security 中显式启用 .cors()，否则 OPTIONS 请求会被拦截
生产环境使用 allowedOrigins("*") 存在安全风险，应明确指定可信的前端域名

✅ 最佳实践

场景 推荐方案
快速测试 / 小型项目 使用 @CrossOrigin 注解
标准 Web 项目（未集成 Spring Security） 实现 WebMvcConfigurer 进行全局 CORS 配置
项目已集成 Spring Security 在 Security 配置中调用 .cors()，并提供 CorsConfigurationSource Bean
需要动态 Origin（如多租户、白名单配置） 自定义 CorsFilter 实现灵活控制

一句话记住：

普通项目用 WebMvcConfigurer，带 Security 的项目必须在 Security 中 .cors() 并提供 CorsConfigurationSource。

相关推荐
天若有情67310 小时前
【java EE】IDEA 中创建或迁移 Spring 或 Java EE 项目的核心步骤和注意事项
后端·spring·java-ee·intellij-idea
大鱼七成饱11 小时前
💥 从崩溃到稳定：我踩过的 Rust Tokio 线程池坑（含代码示例）
后端
喵个咪12 小时前
开箱即用的GO后台管理系统 Kratos Admin - 站内信
后端·微服务·go
韩立学长12 小时前
基于Springboot的旧物公益捐赠管理系统3726v22v（程序、源码、数据库、调试部署方案及开发环境）系统界面展示及获取方式置于文档末尾，可供参考。
数据库·spring boot·后端
Dyan_csdn12 小时前
springboot系统设计选题3
java·spring boot·后端
Yeats_Liao13 小时前
时序数据库系列（二）：InfluxDB安装配置从零搭建
数据库·后端·时序数据库
Yeats_Liao13 小时前
时序数据库系列（一）：InfluxDB入门指南核心概念详解
数据库·后端·时序数据库·db
蓝-萧13 小时前
springboot系列--自动配置原理
java·后端
bobogift14 小时前
【玩转全栈】----Django基本配置和介绍
java·后端
倚栏听风雨14 小时前
Async-Profiler 框架简介
后端
热门推荐
01GitHub 镜像站点02综合整理：pdf预览显示：你尝试预览的文件可能对你的计算机有害。如果你信任此文件以及其来源，请打开此文件以看其内容，如何解决以正常预览文件03UV安装并设置国内源04npm使用国内淘宝镜像的方法05Linux下V2Ray安装配置指南06BongoCat - 跨平台键盘猫动画工具07《大数据技术原理与应用》实验报告三 熟悉HBase常用操作08安娜的档案(Anna’s Archive) 镜像网站/国内最新可访问入口（持续更新）09NVIDIA显卡驱动、CUDA、cuDNN 和 TensorRT 版本匹配指南10GitLab 零基础入门指南：从安装到项目管理全流程