Spring Boot CORS异常排查：请求成功却触发浏览器跨域错误

问题场景 #

我开发了一个包含登录接口的Spring Boot应用，前端通过以下fetch代码调用登录API：

fetch("http://localhost:8080/authenticate/login", {
  method: "POST",
  body: JSON.stringify({
    email: "abdelrahman.amr@gmail.com",
    password: "admin",
  }),
  headers: {
    "Content-Type": "application/json",
  },
})
  .then(console.log)
  .catch(console.error);

后端调试显示请求已成功返回，但浏览器却捕获到状态码为200的CORS类型错误。我已通过如下配置设置全局跨域规则，允许所有源、方法和请求头：

@Override
public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**")
            .allowedOrigins("*")
            .allowedMethods("*")
            .allowedHeaders("*");
}

请问该错误是否由AuthFilter或拦截器导致？问题的根源可能在哪里？

问题分析与解答 #

核心结论：AuthFilter/拦截器大概率是诱因 #

Spring的addCorsMappings配置是通过Spring MVC的DispatcherServlet生效的，但如果你的AuthFilter（比如JWT过滤器、自定义登录校验拦截器）执行顺序在DispatcherServlet之前，就会出现响应已经返回，但跨域响应头还没被添加的情况。浏览器会因为缺少Access-Control-Allow-Origin这类必要的CORS头，即便状态码是200，仍判定为CORS错误。

其他可能的根源 #

1. 全局跨域配置的局限性：addCorsMappings只对经过Spring MVC处理的请求生效，如果Filter提前拦截并直接返回响应，该配置的CORS头不会自动附加。
2. 未暴露自定义响应头：如果接口返回了自定义响应头，但未配置exposedHeaders("*")，浏览器无法读取这些头时也会触发CORS错误。
3. 认证信息携带冲突：如果请求携带了Cookie或认证信息，allowedOrigins("*")是不被浏览器允许的，必须指定具体前端源，同时需开启allowCredentials(true)。

解决建议 #

1. 调整Filter执行顺序：确保AuthFilter在CORS过滤器之后执行，或者在Filter中手动添加CORS响应头：

response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Access-Control-Allow-Methods", "*");
response.setHeader("Access-Control-Allow-Headers", "*");

2. 完善CORS配置：若需携带认证信息，修改配置如下：

@Override
public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**")
            .allowedOrigins("http://你的前端实际域名")
            .allowedMethods("*")
            .allowedHeaders("*")
            .allowCredentials(true)
            .exposedHeaders("*");
}

3. 检查拦截器/Filter逻辑：确认AuthFilter不会在请求处理完成前直接返回响应，需将请求交给Spring MVC处理，让全局CORS配置生效。

内容的提问来源于stack exchange，提问作者Abdelrahman Amr Attia Ewais