Spring应用CORS配置失效：如何识别HTTP请求来源？

为什么拿不到Origin头？ #

只有浏览器发起跨域请求时才会自动携带Origin头，如果测试环境的请求满足以下情况，Origin会返回null：

• 前端和后端部署在同一域名/端口（同域请求）
• 请求通过Postman、curl等非浏览器工具发起
• 浏览器隐私设置禁用了Origin头

识别请求来源的几种方法 #

• 查看Referer头
  多数浏览器会在请求中携带Referer头，包含请求发起的完整页面URL，可从中提取来源域名：

  @RequestMapping(value = "/get-referer", method = RequestMethod.GET)
  public String getReferer(HttpServletRequest request) {
      return request.getHeader("Referer");
  }
  

  拿到Referer后，截取协议+域名+端口部分（比如从http://test-server:3000/home提取http://test-server:3000），添加到allowedOrigins列表中。

• 直接确认测试前端的访问地址
  登录测试环境的前端页面，复制浏览器地址栏的完整URL（比如https://test.example.com或http://192.168.1.100:8081），直接将其加入allowedOrigins。

• 打印所有请求头排查
  临时编写接口打印所有请求头，从中寻找来源相关信息：

  @RequestMapping(value = "/print-headers", method = RequestMethod.GET)
  public String printAllHeaders(HttpServletRequest request) {
      Enumeration<String> headerNames = request.getHeaderNames();
      while (headerNames.hasMoreElements()) {
          String name = headerNames.nextElement();
          System.out.printf("%s: %s%n", name, request.getHeader(name));
      }
      return "headers printed";
  }
  

  重点关注Host、Referer、X-Forwarded-For、X-Forwarded-Host这些头，它们能帮你定位真实请求来源。

• 检查反向代理配置（如果有）
  如果测试环境使用Nginx等反向代理，需在代理配置中转发真实的Origin头，比如Nginx添加：

  proxy_set_header Origin $http_origin;
  proxy_set_header Host $host;
  

  后端再从请求头中获取真实的Origin。

修正CORS配置的注意事项 #

• allowedOrigins中的地址必须和前端访问地址完全一致，包括协议（http/https）、域名、端口，不能省略任何部分。
• 若Spring版本在5.3及以上，推荐使用.allowedOriginPatterns("*")代替.allowedOrigins("*")，支持更灵活的通配符配置（比如https://*.example.com）。
• 测试时可临时用.allowedOrigins("*")验证请求是否能正常通过，确认后再替换为具体的来源地址。

内容的提问来源于stack exchange，提问作者jkfe