Spring Cloud Gateway 扩展：全局跨域配置

**摘要：** 在微服务架构中，前端应用与后端服务通常部署在不同的域名或端口上，这会导致浏览器的同源策略限制，引发跨域问题。本文将详细介绍如何在 Spring Cloud Gateway 中通过全局配置轻松解决跨域问题，并结合实际响应头分析，带你彻底搞懂 CORS 的底层原理。

一、什么是跨域？为什么需要配置？

在 Web 开发中，浏览器出于安全考虑，实施了同源策略（Same-Origin Policy）。简单来说，就是协议、域名、端口三者必须完全一致，否则浏览器会拦截请求。

当你的前端项目（如 Vue/React）运行在 localhost:8080，而后端网关运行在 localhost:8081时，前端发起的请求就会被浏览器拦截，控制台报错 No 'Access-Control-Allow-Origin' header is present。

Spring Cloud Gateway 作为微服务的统一入口，非常适合在这里进行全局的跨域配置，这样就不用在每个微服务中单独配置了。

二、核心配置：Gateway 全局跨域设置

在 Spring Cloud Gateway 中，跨域配置通常在 application.yml或 application.properties中进行。

复制代码

spring:
  cloud:
    gateway:
      globalcors:
        cors-configurations:
          '[/**]':
            allowed-origins: "*"
            allowed-methods: "*"
            allowed-headers: "*"

配置项详解：

[/**] ：这是一个路径匹配模式，表示对所有路径（/**）生效。这意味着无论请求哪个微服务，都会应用这个跨域规则。
allowed-origins: "*" ：允许所有来源的请求。在开发环境非常方便，但在生产环境中建议指定具体的域名（如 http://localhost:8080），以提高安全性。
allowed-methods: "*"：允许所有 HTTP 方法（GET, POST, PUT, DELETE 等）。
allowed-headers: "*"：允许所有请求头。

三、深入分析：响应头中的"秘密"

配置完成后，我们可以通过浏览器的开发者工具查看网络请求的响应头（Response Headers），验证配置是否生效。

图片分析：

X-Response: 123：这是一个自定义的响应头，通常用于测试或标识。它的存在说明网关已经成功拦截并处理了请求，且自定义的过滤器或配置生效了。
Vary: Origin ：这是一个非常关键的头。它告诉浏览器，服务器的响应内容取决于请求头中的 Origin字段。这意味着如果请求来自不同的源，服务器可能会返回不同的响应（例如不同的 CORS 策略）。
Vary: Access-Control-Request-Method ：这通常出现在预检请求（Preflight Request）的响应中。它表示服务器的响应取决于客户端请求的 Access-Control-Request-Method（即实际请求的方法）。
Vary: Access-Control-Request-Headers：同样出现在预检请求中，表示响应取决于客户端请求的自定义头。

为什么会有 `Vary`头？

当你配置了 allowed-origins: "*"时，网关会动态地根据请求头中的 Origin来设置 Access-Control-Allow-Origin。为了防止缓存混淆，服务器必须声明响应是基于 Origin变化的，这就是 Vary: Origin的作用。

四、高级配置与最佳实践

虽然 *通配符很方便，但在生产环境中，建议遵循以下最佳实践：

限制来源 ：不要使用 *，而是明确列出允许的域名。
java 复制代码
```
allowed-origins: "http://localhost:8080, http://prod-domain.com"
```
允许凭证 ：如果你的请求需要携带 Cookie（如登录态），必须开启 allow-credentials，且此时 allowed-origins不能为 *，必须指定具体域名。
复制代码
```
allow-credentials: true
```
暴露自定义头 ：如果你的后端返回了自定义头（如 X-Response），前端需要在网关配置中显式暴露它，否则前端 JavaScript 无法读取。
复制代码
```
exposed-headers: "X-Response"
```

五、总结

通过 Spring Cloud Gateway 的全局跨域配置，我们可以优雅地解决微服务架构下的前端跨域问题。理解响应头中的 Vary字段有助于我们排查复杂的缓存和 CORS 问题。希望这篇博客能帮你彻底搞定跨域配置！

Spring Cloud Gateway 扩展：全局跨域配置

一、 什么是跨域？为什么需要配置？

二、 核心配置：Gateway 全局跨域设置

配置项详解：

三、 深入分析：响应头中的"秘密"