Docker环境下Spring Boot CORS配置及Nginx容器请求源问题

1. Spring Boot Security中正确配置允许所有源的方法 #

你之前设置setAllowedOrigins(List.of("*"))同时开启AllowCredentials(true)是无效的——因为浏览器的CORS规则禁止**带凭证（Cookie、HTTP认证等）**的请求使用通配符*作为允许源，这是核心冲突点。根据是否需要凭证，分两种配置方案：

方案一：不需要携带凭证时 #

直接使用通配符源，同时关闭凭证允许：

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(List.of("*"));
    configuration.setAllowedMethods(List.of("*"));
    configuration.setAllowedHeaders(List.of("*"));
    configuration.setAllowCredentials(false); // 必须关闭，否则和*冲突
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

方案二：需要携带凭证时 #

不能用setAllowedOrigins的通配符，改用setAllowedOriginPatterns（支持模式匹配且允许凭证）：

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOriginPatterns(List.of("*")); // 替代allowedOrigins
    configuration.setAllowedMethods(List.of("*"));
    configuration.setAllowedHeaders(List.of("*"));
    configuration.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

另外，你切换回非Docker环境后原配置失效，大概率是浏览器缓存了旧的CORS规则，清除浏览器缓存或用无痕模式测试即可恢复。

2. Docker桥接网络中Nginx容器请求后端的请求源说明 #

首先明确：CORS是浏览器的安全机制，仅针对浏览器发起的跨域请求。Nginx容器作为服务端直接请求后端容器时，属于服务器间调用，不会触发CORS拦截。

具体场景分两种：

• 如果是浏览器访问Nginx（比如http://localhost）后，由浏览器直接发起请求到后端：此时请求源是浏览器地址栏的地址，即http://localhost（或你实际访问的域名/IP）。
• 如果是Nginx作为反向代理，转发浏览器的请求到后端：后端收到的请求中，Origin字段是浏览器的源（若Nginx配置了转发该头）；若未转发，则后端不会收到Origin头，自然不会触发CORS校验。

在Docker桥接网络内部，Nginx容器通过容器名/服务名（比如http://backend:8080）访问后端时，后端看到的请求来源是Nginx容器的Docker内网IP，而非浏览器的Origin。

内容的提问来源于stack exchange，提问作者David