SpringBoot跨域配置GET正常但POST请求失效问题排查

针对你遇到的SpringBoot生产环境（Tomcat10部署）POST请求无法获取CORS头部，但GET/OPTIONS正常的问题，可从以下几个方向排查：

1. Origin匹配规则问题 #

你的配置中使用setAllowedOrigins做精确匹配，生产环境前端的实际请求Origin可能不在列表中：

• 检查浏览器开发者工具中POST请求的Origin头，确认是否和配置的完全一致（比如生产环境可能是不带端口的http://www.example.com，而非配置里的带端口版本）
• 建议替换为setAllowedOriginPatterns，支持通配符匹配，适配生产环境可能的Origin变化，示例：

  config.setAllowedOriginPatterns(
      List.of("http://*.example.com", "http://192.000.0.000:3000", "http://localhost:3000")
  );
  

2. Spring Security过滤器顺序问题 #

CORS过滤器需要优先于OAuth2资源服务器过滤器执行，否则POST请求可能先被OAuth2逻辑拦截，未触发CORS头部生成：

• 调整配置链式写法，确保CORS配置放在最前面：

  httpSecurity.cors(...)
      .oauth2ResourceServer(c -> c.jwt(j -> j.jwkSetUri(keySetUri)))
      .csrf(c -> c.disable())
      .authorizeRequests(auth -> auth.anyRequest().permitAll());
  

3. Tomcat自身CORS配置冲突 #

Tomcat10的全局CORS配置（web.xml或server.xml）可能和Spring的配置冲突，导致POST请求的头部被覆盖：

• 检查Tomcat安装目录下conf/web.xml是否存在CORS过滤器配置，若有则统一调整为包含所需Origin和请求方法，或禁用Tomcat全局CORS，完全依赖Spring配置。

4. 预检请求（OPTIONS）的实际响应是否符合预期 #

虽然你提到OPTIONS请求正常，但需确认生产环境中OPTIONS响应的Access-Control-Allow-Methods是否明确包含POST：

• 用浏览器开发者工具查看OPTIONS请求的响应头，若该字段缺失POST，浏览器会阻止后续的POST请求，需确保Spring配置中setAllowedMethods包含所有需要的方法。

修正后的完整配置示例 #

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception{
    logger.info(keySetUri);

    httpSecurity.cors(c -> {
        CorsConfigurationSource source = request -> {
            CorsConfiguration config = new CorsConfiguration();
            config.setAllowedOriginPatterns(
                List.of("http://*.example.com", "http://192.000.0.000:3000", "http://localhost:3000")
            );
            config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "OPTIONS"));
            config.setAllowedHeaders(List.of("*"));
            config.setAllowCredentials(true); // 若前端需要携带Cookie等凭证则开启
            return config;
        };
        c.configurationSource(source);
    })
    .oauth2ResourceServer(c -> c.jwt(j -> j.jwkSetUri(keySetUri)))
    .csrf(c -> c.disable())
    .authorizeRequests(auth -> auth.anyRequest().permitAll());

    return httpSecurity.build();
}

内容的提问来源于stack exchange，提问作者Diego Alves