Spring Boot令牌端点请求参数含特殊字符时触发CORS错误求助

问题本质 #

当密码包含{这类特殊字符时，后端服务可能因参数解析失败返回4xx错误响应，默认配置下Spring Cloud Gateway的CORS过滤器不会为错误请求添加跨域响应头，导致前端触发CORS报错。编码特殊字符能解决是因为后端能正确解析请求返回2xx，此时CORS头正常返回，但这种方案需要处理所有特殊字符，不够优雅。

具体修复方案 #

1. 让CORS配置覆盖错误响应

修改网关的globalcors配置，添加add-to-simple-url-handler-mapping: true，确保CORS过滤器对所有请求（包括错误请求）生效：

spring:
  cloud:
    gateway:
      default-filters:
        - DedupeResponseHeader=Access-Control-Allow-Credentials Access-Control-Allow-Origin, RETAIN_FIRST
      globalcors:
        add-to-simple-url-handler-mapping: true # 核心配置，让CORS处理错误请求
        corsConfigurations:
          '[/**]':
            allowedOrigins: '*'
            allowed-methods:
              - GET
              - POST
              - PUT
              - PATCH
              - DELETE
            allowed-headers: "*"
            allowCredentials: true # 显式开启凭证支持，匹配默认过滤器的配置
            
      routes:
        # Authorization server route
        - id: authorization_server
          predicates:
            - Path=/oauth/**
          uri: http://127.0.0.1:12001
          metadata:
            response-timeout: 10000
            connect-timeout: 10000

2. 规范密码传递方式（推荐）

避免将密码放在URL参数中传递，改用POST请求+请求体（application/json或x-www-form-urlencoded格式）传递敏感信息，这样特殊字符无需额外编码，后端Spring Security OAuth2也能正确解析请求体中的参数。

3. 检查后端服务的参数解析配置

如果必须用URL参数传递，确保后端服务的配置允许解析包含{}这类特殊字符的参数。比如在Spring Boot中，可以调整Tomcat的配置：

server.tomcat.relaxed-path-chars= {,}
server.tomcat.relaxed-query-chars= {,}

这会让Tomcat允许这些特殊字符出现在URL的路径或查询参数中，避免直接返回400错误。

内容的提问来源于stack exchange，提问作者Abdullah Al Mahfuz