Spring Security全局CORS与@CrossOrigin能否结合？注解规则失效问题

问题核心 #

当你同时使用Spring Security的全局CORS Filter和控制器方法上的@CrossOrigin注解时，@CrossOrigin的规则会被忽略——因为Spring Security的CorsFilter在请求进入Spring MVC的DispatcherServlet之前就完成了CORS校验，一旦全局配置允许了请求，后续MVC层的@CrossOrigin检查不会再触发。

为什么会这样？ #

• Spring Security的CorsFilter：属于Servlet Filter层级，是请求进入应用的第一道CORS校验关卡。只要它判定请求合法，就会直接放行，请求不会再进入后续MVC层的CORS检查逻辑。
• @CrossOrigin注解：由Spring MVC的HandlerMapping处理，属于DispatcherServlet内部的控制器前置检查。只有当Filter层面没有处理CORS（即没有配置Spring Security的CORS Filter，或者Filter跳过了该路径的校验）时，这部分逻辑才会生效。

解决方案 #

方案1：统一在Spring Security中配置所有CORS规则（推荐） #

利用UrlBasedCorsConfigurationSource的路径匹配优先级（更具体的路径会优先匹配），先注册特定端点的严格规则，再注册全局宽松规则：

@Bean
fun corsConfigurationSource(): CorsConfigurationSource {
    val source = UrlBasedCorsConfigurationSource()
    
    // 1. 配置特定端点的严格CORS规则
    val strictCorsConfig = CorsConfiguration().apply {
        allowedOrigins = listOf("https://<someURL>/")
        allowedMethods = listOf(HttpMethod.GET.name)
        // 根据需求添加其他配置：allowedHeaders、allowCredentials等
    }
    source.registerCorsConfiguration("/set-csrf-cookie", strictCorsConfig)
    
    // 2. 配置全局宽松规则（匹配所有其他路径）
    source.registerCorsConfiguration("/**", superPermissiveConfiguration())
    
    return source
}

这样，当请求访问/set-csrf-cookie时，会优先匹配严格规则，其他路径则使用全局宽松规则。

方案2：让特定端点的CORS由Spring MVC处理 #

如果你坚持要使用@CrossOrigin注解，需要让Spring Security的CorsFilter跳过该路径的校验，把CORS检查交给Spring MVC：

1. 修改CorsConfigurationSource，不为该路径注册全局规则（或者调整路径匹配逻辑）
2. 在Security配置中确保该路径的CORS过滤被跳过（或者通过requestMatchers排除）

示例配置：

@Bean
fun filterChain(http: HttpSecurity): SecurityFilterChain {
    http
        .cors { cors ->
            cors.configurationSource(corsConfigurationSource())
        }
        .authorizeHttpRequests { auth ->
            auth.requestMatchers("/set-csrf-cookie").permitAll()
            // 其他授权规则
        }
    return http.build()
}

@Bean
fun corsConfigurationSource(): CorsConfigurationSource {
    val source = UrlBasedCorsConfigurationSource()
    // 只注册全局规则，不包含/set-csrf-cookie
    source.registerCorsConfiguration("/**", superPermissiveConfiguration())
    return source
}

此时，/set-csrf-cookie的CORS规则会由@CrossOrigin注解生效，其他路径使用全局配置。

总结 #

• Spring Security的CORS Filter和@CrossOrigin注解不能同时生效，因为Filter层的校验会优先阻断后续MVC层的检查。
• 推荐统一在Spring Security的CorsConfigurationSource中配置所有CORS规则，通过路径优先级实现差异化控制，这种方式更集中，也更符合Spring Security的防护逻辑。
• 如果必须使用@CrossOrigin，需要明确划分Filter层和MVC层的CORS处理边界，避免出现配置冲突或安全漏洞。

内容的提问来源于stack exchange，提问作者Kirill Shpak