Spring Boot API部署后遭遇CORS策略拦截问题求助

核心问题分析 #

从你的配置和错误信息来看，主要有几个可能的触发点：

1. 环境变量未正确加载
   Render平台上可能未正确配置CORS_ORIGINS环境变量，导致后端实际加载的跨域来源为空或错误。即使你在application.properties中设置了默认值，也需要确认Render部署时是否真的注入了正确的变量值。

2. CORS配置API使用错误
   你使用了setAllowedOriginPatterns方法，但传入的是精确域名而非模式匹配字符串（如https://*.netlify.app）。这个方法是用于支持通配符/模式匹配的跨域来源，而精确域名应该使用setAllowedOrigins，否则可能导致Spring无法正确匹配请求来源。

3. 过滤器重复注册与顺序冲突
   你同时通过HttpSecurity.cors()和FilterRegistrationBean注册了CORS过滤器，这可能导致过滤器链执行顺序混乱，反而让正确的CORS头无法被添加到响应中。

具体修复步骤 #

1. 验证Render环境变量配置

登录Render平台，进入你的后端服务控制台：

• 检查环境变量列表中是否存在CORS_ORIGINS，值是否为https://ds-commerce-v1.netlify.app
• 查看服务启动日志，确认启动时加载的cors.origins参数是否与预期一致（可以在日志中搜索cors.origins关键词）

2. 修改CORS配置代码

调整corsConfigurationSource方法，替换API并优化配置：

@Bean
CorsConfigurationSource corsConfigurationSource() {

    String[] origins = corsOrigins.split(",");

    CorsConfiguration corsConfig = new CorsConfiguration();
    // 替换为精确匹配的API
    corsConfig.setAllowedOrigins(Arrays.asList(origins));
    corsConfig.setAllowedMethods(Arrays.asList("POST", "GET", "PUT", "DELETE", "PATCH"));
    corsConfig.setAllowCredentials(true);
    corsConfig.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
    // 暴露前端需要读取的响应头（如Authorization）
    corsConfig.setExposedHeaders(Arrays.asList("Authorization"));
 
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", corsConfig);
    return source;
}

3. 删除重复的过滤器注册

移除额外的FilterRegistrationBean，避免与HttpSecurity中的CORS配置冲突：

// 删除这个Bean的所有代码
@Bean
FilterRegistrationBean<CorsFilter> corsFilter() {
    FilterRegistrationBean<CorsFilter> bean
            = new FilterRegistrationBean<>(new CorsFilter(corsConfigurationSource()));
    bean.setOrder(Ordered.HIGHEST_PRECEDENCE);
    return bean;
}

4. 调整HttpSecurity配置顺序

确保CORS配置在权限控制之前执行：

@Override
public void configure(HttpSecurity http) throws Exception {

    // H2控制台配置
    if (Arrays.asList(env.getActiveProfiles()).contains("test")) {
        http.headers().frameOptions().disable();
    }
    
    // 先配置CORS，再设置权限规则
    http.cors().configurationSource(corsConfigurationSource());
    
    http.authorizeRequests().anyRequest().permitAll();
}

测试验证 #

修改完成后重新部署后端到Render：

1. 直接在application.properties中硬编码cors.origins=https://ds-commerce-v1.netlify.app（临时测试用），确认跨域请求是否正常
2. 测试通过后再恢复环境变量配置，验证变量是否正确生效

内容的提问来源于stack exchange，提问作者Gustavo Nepomuceno