为何使用CorsConfigurationSource正常，WebFluxConfigurer却出CORS错误？

问题背景 #

React前端向Spring Boot WebFlux后端发起请求时出现CORS错误，后端通过过滤器拦截请求完成认证，安全配置如下：

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    return http
            .cors().and()
            .addFilterAt(jwtTokenFilter, SecurityWebFiltersOrder.AUTHENTICATION)
            .authorizeExchange()
            .pathMatchers("/**").hasAuthority("read:Orders")
            .and().oauth2ResourceServer().jwt().jwtAuthenticationConverter(jwtAuthenticationConverter()).and().and().build();
}

使用CorsConfigurationSource Bean时CORS问题解决，但使用WebFluxConfigurer Bean时仍报错，两种配置的过滤器逻辑一致，现询问两者核心差异。

CorsConfigurationSource Bean配置 #

@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "PATCH", "DELETE", "OPTIONS"));
    configuration.setAllowedHeaders(Arrays.asList("authorization", "content-type", "x-auth-token"));
    configuration.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

WebFluxConfigurer Bean配置 #

@Bean
public WebFluxConfigurer corsConfigurer(){
    return new WebFluxConfigurer() {
        @Override
        public void addCorsMappings(CorsRegistry registry){
            registry
                    .addMapping("/**")
                    .allowedOrigins("http://localhost:3000")
                    .allowCredentials(true)
                    .allowedHeaders("AUTHORIZATION", "CONTENT-TYPE", "X-AUTH-TOKEN")
                    .allowedMethods("GET","POST","OPTIONS");
        }
    };
}

两种配置的核心差异 #

1. 过滤器执行顺序不同 #

• CorsConfigurationSource：和Spring Security深度集成，当你在ServerHttpSecurity中调用.cors().and()时，Spring Security会自动加载这个Bean，并将CORS过滤器放在安全过滤器链的最前端。这意味着OPTIONS预检请求和CORS头校验会优先执行，不会被后续的认证过滤器（比如你的jwtTokenFilter）拦截，避免因预检请求未通过CORS校验就触发认证逻辑而报错。
• WebFluxConfigurer：属于WebFlux自身的全局CORS配置，它的过滤器在Spring Security过滤器链之后执行。你的场景中，认证过滤器会先拦截请求，此时WebFlux的CORS配置还未处理OPTIONS请求或设置响应头，直接触发认证校验，导致预检请求被拒绝，出现CORS错误。

2. 配置适配场景不同 #

• CorsConfigurationSource：专为Spring Security场景设计，确保CORS校验在安全拦截前完成，适配需要认证的接口场景，尤其是处理不需要携带token的OPTIONS预检请求时，能提前通过CORS校验，避免认证过滤器报错。
• WebFluxConfigurer：是通用Web层配置，适用于无Spring Security的场景，或Spring Security未启用.cors()配置的情况。当项目集成Spring Security时，它的优先级低于安全过滤器链，无法处理需要先过安全校验的请求的CORS问题。

3. 配置细节的隐性差异 #

• 你在CorsConfigurationSource中允许了全量HTTP方法（含PUT、PATCH、DELETE），而WebFluxConfigurer仅开放GET、POST、OPTIONS，若前端有其他类型请求，也会触发额外CORS问题。
• 两者设置的请求头大小写不同（前者小写、后者大写），虽然Spring处理header时默认不区分大小写，但统一格式能避免潜在问题。

解决方案 #

若项目使用Spring Security的SecurityWebFilterChain，必须使用CorsConfigurationSource Bean配合ServerHttpSecurity.cors()配置CORS，确保CORS过滤器在安全过滤器之前生效，处理预检请求并设置响应头，彻底解决CORS错误。

内容的提问来源于stack exchange，提问作者Hassan Raza