如何在Spring Boot中从全局CORS配置排除特定控制器？

架构老林

2026-6-26

特定控制器排除全局CORS配置的解决方案

方案一：全局配置中排除目标路径

如果你的全局CORS是通过WebMvcConfigurer的addCorsMappings配置的，直接在全局规则里排除目标控制器的路径，同时单独给该路径配置专属CORS规则即可：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        // 全局规则：对所有路径生效，但排除目标控制器的路径
        registry.addMapping("/**")
                .allowedOrigins("addr1", "addr2")
                .excludePathPatterns("/specific-addr3/**"); // 替换为你的控制器实际路径前缀

        // 目标控制器专属规则：仅允许addr3访问
        registry.addMapping("/specific-addr3/**")
                .allowedOrigins("http://addr3", "https://addr3");
    }
}

这种方式无需在控制器上加@CrossOrigin，所有规则统一在全局配置中管理，逻辑更清晰。

方案二：用@CrossOrigin禁用全局配置（Spring 5.3+）

如果想保留控制器上的@CrossOrigin注解，直接给注解添加globalCorsConfig = false属性，明确让该控制器不继承全局CORS规则：

@CrossOrigin(origins = {"http://addr3", "https://addr3"}, globalCorsConfig = false)
@RestController
@RequestMapping("/specific-addr3")
public class SpecificControllerForAddr3 {
    // 控制器方法实现
}

注意该属性仅支持Spring 5.3及以上版本，版本不足的话建议使用方案一。