React+SpringBoot项目登录请求遇CORS跨域拦截问题求助

问题核心诊断 #

你遇到的CORS报错本质是请求方法不匹配导致的：

• 前端通过axios发起POST请求到/user/login，但后端接口用的是@GetMapping注解，这会让SpringBoot返回405 Method Not Allowed响应。
• 此时后端的CORS配置不会被应用到这个错误响应上，浏览器就会抛出No 'Access-Control-Allow-Origin' header的拦截提示——这也是为什么你配置了CORS却无效的核心原因。

分步解决方案 #

1. 修正后端登录接口的请求方法 #

将UserController中的@GetMapping("/login")改为@PostMapping("/login")，既匹配前端请求方式，也符合登录接口传递敏感信息的安全规范：

@RestController
@RequestMapping("/user")
public class UserController {
    private final UserService userService;

    @Autowired
    public UserController(UserService userService) {
        this.userService = userService;
    }

    // 修正为PostMapping，匹配前端请求方法
    @PostMapping("/login")
    public ResponseEntity<String> loginUser(@RequestBody User user) throws UserNotFoundException, WrongPasswordException {
        userService.loginUser(user);
        return ResponseEntity.ok("The user has logged in");
    }

    @PostMapping("/register")
    public ResponseEntity<String> registerUser(@RequestBody User user) throws InvalidUserNameException {
        userService.registerUser(user);
        return ResponseEntity.status(HttpStatus.CREATED).body("The user has successfully been created");
    }
}

2. 确认CORS配置的有效性 #

你的CorsConfig配置本身是正确的，但需要确保：

• 配置类处于SpringBoot的扫描范围内（比如和主启动类同包或子包）
• 如果项目集成了Spring Security，必须允许OPTIONS预检请求（POST请求会触发浏览器发送OPTIONS预检），添加以下Security配置：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors() // 启用已配置的CORS规则
            .and()
            .csrf().disable() // 登录注册接口可临时关闭CSRF，后续用JWT鉴权时再调整
            .authorizeRequests()
            .antMatchers("/user/login", "/user/register").permitAll() // 放行未登录即可访问的接口
            .anyRequest().authenticated();
    }
}

3. 校验前端请求路径 #

确保axios已配置正确的baseURL，否则前端请求会指向自身的5173端口而非后端8080端口：

// 在axios初始化的全局配置中添加
axios.defaults.baseURL = 'http://localhost:8080/api';

额外注意事项 #

• 生产环境不要同时设置allowedOrigins("*")和allowCredentials(true)，这会违反浏览器CORS规则，需指定具体的前端域名
• 登录接口建议返回JWT令牌而非简单字符串，方便后续接口的身份鉴权

内容的提问来源于stack exchange，提问作者Laughcheeta1