Spring Boot跳转Google Auth API时遭遇CORS错误，求解决方案

问题本质 #

Google OAuth授权端点不允许前端直接发起跨域AJAX请求，你前端直接调用Google Auth API的方式本身不符合OAuth安全规范，手动添加Access-Control-Allow-Origin这类请求头完全无效——因为响应由Google服务器返回，你的Spring Boot服务无法修改Google返回的响应头。

正确解决方案 #

方案1：后端代理OAuth跳转（推荐，符合安全规范）

1. 前端发起请求到你的Spring Boot后端接口（比如/api/auth/google）
2. 在后端接口中直接重定向到Google Auth的授权URL，示例代码：

@GetMapping("/api/auth/google")
public String redirectToGoogleAuth() {
    String googleAuthUrl = "https://accounts.google.com/o/oauth2/v2/auth" +
            "?client_id=YOUR_CLIENT_ID" +
            "&redirect_uri=YOUR_BACKEND_REDIRECT_URI" +
            "&response_type=code" +
            "&scope=email profile";
    return "redirect:" + googleAuthUrl;
}

3. Google授权完成后，会回调你配置的后端重定向URI，后端再处理授权码、获取令牌，最后返回结果给前端。

这种方式完全绕开跨域问题，所有和Google的交互都在后端完成，前端只和自己的后端通信。

方案2：使用Google官方前端Auth库

如果必须在前端处理授权，不要自行编写AJAX请求，使用Google官方提供的gapi.auth2库：

1. 引入Google Auth SDK：

<script src="https://apis.google.com/js/api:client.js"></script>

2. 初始化并发起授权：

function initGoogleAuth() {
    gapi.load('auth2', function() {
        auth2 = gapi.auth2.init({
            client_id: 'YOUR_CLIENT_ID',
            scope: 'email profile'
        });
        auth2.signIn().then(function(googleUser) {
            // 处理用户信息或令牌
        });
    });
}

该库通过iframe方式处理授权，不会触发浏览器的CORS限制。

关于你当前的Spring Boot CORS配置 #

你当前的CORS配置是针对前端请求你的后端服务的，和Google Auth的跨域问题无关。如果前端和后端之间存在跨域，确保配置正确：

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(List.of("你的前端域名"));
        config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
        config.setAllowedHeaders(List.of("*"));
        config.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

内容的提问来源于stack exchange，提问作者ANKUSH GUPTA