HTTPS环境下CORS预检报错：通配符源不允许问题咨询

问题背景 #

部署到HTTPS环境后触发CORS错误，报错信息：

cross-origin resource sharing error preflight wildcard origin not allowed

本地HTTP环境下跨子域名配置可正常运行：

Backend (local): http://local.api.group.com:9090
Frontend (local): http://local.fe.group.com:3000

但HTTPS的QA环境出现上述错误：

Backend (QA): https://qa.api.group.com
Frontend (QA): https://qa.fe.group.com

后端Spring Boot CORS配置：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins(
                        "https://qa.fe.group.com",
                        "http://local.fe.group.com"
                )
                .allowedMethods("GET", "POST", "OPTIONS", "PATCH", "PUT", "DELETE", "HEAD")
                .allowedHeaders("*")
                .allowCredentials(true)
                .allowPrivateNetwork(true)
                .allowedOriginPatterns(
                        "https://qa.fe.group.com",
                        "http://local.fe.group.com"
                );
    }
}

前端Axios配置：

const axiosInstance = axios.create({
  withCredentials: true,
});

1. 本地HTTP正常、HTTPS环境报错的原因 #

• 浏览器对HTTPS环境的CORS校验更严格：HTTP环境下部分宽松配置可能被兼容，但HTTPS会严格遵循CORS规范执行校验。
• 配置冲突：代码同时使用allowedOrigins和allowedOriginPatterns，Spring Boot中这两个方法存在优先级问题，导致HTTPS环境下实际生效的配置不符合预期，出现隐含的通配符（wildcard）场景。
• HTTPS对Cookie属性有强制要求：跨域Cookie必须设置Secure属性，否则浏览器不会携带，间接引发CORS校验失败。

2. 解决"preflight wildcard origin not allowed"错误的配置方案 #

错误核心是当allowCredentials=true时，Access-Control-Allow-Origin响应头不能是通配符*，必须是具体源。你的问题源于allowedOrigins和allowedOriginPatterns混用导致的配置冲突，调整方案如下：

方案一：使用allowedOriginPatterns（Spring Boot 2.4+推荐）

移除allowedOrigins，仅保留allowedOriginPatterns，该方法支持模式匹配且与allowCredentials完全兼容：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOriginPatterns(
                        "https://qa.fe.group.com",
                        "http://local.fe.group.com"
                )
                .allowedMethods("GET", "POST", "OPTIONS", "PATCH", "PUT", "DELETE", "HEAD")
                .allowedHeaders("*")
                .allowCredentials(true)
                .allowPrivateNetwork(true);
    }
}

方案二：动态设置响应头（灵活适配多场景）

如果需要支持动态源，可通过过滤器手动校验并设置Access-Control-Allow-Origin为请求的Origin值：

@Configuration
public class CorsFilterConfig {
    private static final List<String> ALLOWED_ORIGINS = Arrays.asList(
            "https://qa.fe.group.com",
            "http://local.fe.group.com"
    );

    @Bean
    public FilterRegistrationBean<CorsFilter> corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.setAllowedMethods(Arrays.asList("GET", "POST", "OPTIONS", "PATCH", "PUT", "DELETE", "HEAD"));
        config.setAllowedHeaders(Collections.singletonList("*"));
        config.setAllowPrivateNetwork(true);
        config.setAllowedOriginPatterns(ALLOWED_ORIGINS);
        source.registerCorsConfiguration("/**", config);

        FilterRegistrationBean<CorsFilter> bean = new FilterRegistrationBean<>(new CorsFilter(source));
        bean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return bean;
    }
}

3. 是否与allowCredentials(true)或跨子域名Cookie有关？ #

• allowCredentials(true)本身无问题，是配置搭配错误：开启该属性时，CORS规范强制要求Access-Control-Allow-Origin必须是具体源，不能是通配符。你的报错是因为配置冲突导致响应头出现了通配符，和该属性本身无关。
• 跨子域名Cookie是潜在影响因素：
  • 确保Cookie的Domain设置为.group.com（带前置点），让所有子域名可访问。
  • HTTPS环境下Cookie必须设置Secure属性，否则浏览器不会在HTTPS请求中携带。
  • 建议设置SameSite=None（需配合Secure），确保跨域请求能正常携带Cookie。

额外验证步骤 #

1. 检查QA环境的反向代理（如Nginx）是否覆盖了CORS响应头：部分代理会自行添加CORS头，导致后端配置失效，需确保代理不修改相关响应头。
2. 用浏览器开发者工具查看OPTIONS请求的响应头：确认Access-Control-Allow-Origin是https://qa.fe.group.com而非*，同时存在Access-Control-Allow-Credentials: true。

内容的提问来源于stack exchange，提问作者Lakshitha Samod