Spring Security致重定向后Origin头为null的问题排查与解决求助

Spring Security的CORS过滤器优先级高于Spring Cloud Gateway的CORS处理逻辑，当请求触发重定向时，Security默认的CORS配置会对请求头进行严格校验与处理，导致重定向后的请求中Origin头被清除或未正确传递。而移除Spring Security后，Gateway自身的CORS处理会直接响应同域请求，浏览器会正常带上localhost:8080的Origin头，符合预期效果。

具体来说，Spring Security在处理跨域请求时，会先通过CorsFilter拦截请求，若重定向后的请求未被Security的CORS规则正确匹配，或是Security配置未允许重定向场景下的Origin传递，就会出现Origin为null的情况。

1. 统一Spring Security与Gateway的CORS配置 #

自定义Spring Security的CORS配置，明确允许localhost*域名，同时确保重定向请求的头信息被正确保留：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.cors(cors -> cors.configurationSource(corsConfigurationSource()))
            // 按需添加其他Security配置，如csrf、授权规则等
            .csrf().disable();
        return http.build();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        // 允许localhost开头的域名
        config.addAllowedOriginPattern("localhost*");
        // 允许所有请求头
        config.addAllowedHeader("*");
        // 允许所有请求方法
        config.addAllowedMethod("*");
        // 允许携带凭证（按需开启）
        config.setAllowCredentials(true);
        // 暴露所有响应头（可选）
        config.addExposedHeader("*");

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        // 对所有路径应用CORS配置
        source.registerCorsConfiguration("/**", config);
        return source;
    }
}

同时确保Gateway的CORS配置（若存在）与Security配置保持一致，避免两者逻辑冲突。

2. 用服务器端转发替代重定向 #

如果是同域内的跳转需求，可以将重定向逻辑改为服务器端转发（forward），这样浏览器不会发起新的请求，也就不会触发CORS校验：

spring:
  cloud:
    gateway:
      routes:
        - id: example_route
          uri: forward:/target-endpoint
          predicates:
            - Path=/original-path

3. 让Security忽略重定向目标路径的CORS检查 #

如果重定向目标端点不需要Security的权限保护，可以将其加入Security的忽略路径列表，交由Gateway直接处理该请求的CORS逻辑：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(auth -> auth
                .requestMatchers("/target-endpoint").permitAll()
                .anyRequest().authenticated())
            .cors(cors -> cors.configurationSource(corsConfigurationSource()));
        return http.build();
    }

    // CORS配置同方案1
}

内容的提问来源于stack exchange，提问作者piabor