Spring Cloud Gateway中DedupeResponseHeader配置无效问题求助

我在配置Spring Cloud Gateway时遇到问题，已在yml文件中添加如下配置：

spring:
  main:
    allow-bean-definition-overriding: true
  application:
    name: "gateway"
  cloud:
    gateway:
      default-filters:
        - DedupeResponseHeader=Access-Control-Allow-Origin Access-Control-Allow-Credentials, RETAIN_UNIQUE
      globalcors:
        corsConfigurations:
          '[/**]':
            allowedOrigins: "*"
            allowedHeaders: "*"
            allowedMethods: "*"
            allowCredentials: true

但返回的响应头中仍包含两个Access-Control-Allow-Origin字段，导致如下CORS错误：

Access to XMLHttpRequest at 'https://xxxxx/api/authentication/send-sign-in-code' from origin 'http://localhost:3000' has been blocked by CORS policy: The 'Access-Control-Allow-Origin' header contains multiple values '*, *', but only one is allowed.

我尝试将allowedOrigins修改为"http://localhost:3000"，但问题依旧。请问为何DedupeResponseHeader在此处不生效？

原因分析 #

DedupeResponseHeader过滤器不生效的核心是执行顺序问题：Spring Cloud Gateway的全局CORS配置会生成CorsWebFilter，这个过滤器的执行优先级高于默认过滤器中的DedupeResponseHeader。也就是说，CORS响应头是在去重操作之前被添加的，后续即使执行去重，也无法处理Gateway自身添加的重复头。

另外，allowedOrigins: "*"与allowCredentials: true同时配置本身违反CORS规范（浏览器不允许通配符origin搭配凭证允许），这种冲突配置可能触发Gateway内部重复添加响应头的逻辑，进一步加剧问题。

解决方案 #

方案1：调整过滤器优先级，让去重操作在CORS之后执行 #

将DedupeResponseHeader配置为全局过滤器，并指定高于CorsWebFilter的执行顺序（数值越小优先级越高，CorsWebFilter默认order为-1）：

spring:
  cloud:
    gateway:
      global-filters:
        - name: DedupeResponseHeader
          args:
            name: Access-Control-Allow-Origin,Access-Control-Allow-Credentials
            strategy: RETAIN_UNIQUE
          order: 1000 # 确保此值大于-1，让去重在CORS头添加后执行
      globalcors:
        corsConfigurations:
          '[/**]':
            allowedOrigins: "http://localhost:3000"
            allowedHeaders: "*"
            allowedMethods: "*"
            allowCredentials: true

方案2：关闭Gateway自动CORS过滤器，统一由自定义逻辑处理 #

如果后端服务已配置CORS，或希望完全控制CORS流程，可以关闭Gateway自动生成的CorsWebFilter，改用过滤器手动添加并去重：

spring:
  cloud:
    gateway:
      globalcors:
        add-to-simple-url-handler-mapping: false # 关闭自动CORS过滤器
      default-filters:
        # 先添加CORS响应头
        - AddResponseHeader=Access-Control-Allow-Origin, http://localhost:3000
        - AddResponseHeader=Access-Control-Allow-Methods, GET,POST,PUT,DELETE,OPTIONS
        - AddResponseHeader=Access-Control-Allow-Headers, *
        - AddResponseHeader=Access-Control-Allow-Credentials, true
        # 执行去重
        - DedupeResponseHeader=Access-Control-Allow-Origin Access-Control-Allow-Credentials, RETAIN_UNIQUE

方案3：检查后端服务的CORS配置 #

如果后端服务本身也返回了Access-Control-Allow-Origin头，会和Gateway的配置重复。这种情况下需要关闭后端的CORS配置，统一由Gateway处理跨域逻辑，避免重复添加响应头。

内容的提问来源于stack exchange，提问作者Nguyen Andrew