Spring Boot中/login认证接口CORS配置不生效问题求助

你的核心问题是Spring Security默认的表单登录重定向机制与跨域场景冲突，同时CORS配置缺少关键的凭证允许规则，导致Cookie无法传递且重定向触发跨域错误。

问题根源 #

1. Spring Security的formLogin默认会在登录成功/失败后执行重定向（比如跳转到首页或登录页），但跨域场景下前端是SPA应用，无法处理后端域名的重定向请求，从而触发CORS错误。
2. CORS配置未开启allowCredentials=true，浏览器不会传递JSESSIONID Cookie，同时你之前的配置缺少对必要请求头的允许规则。

修复步骤 #

1. 完善CORS配置（关键） #

修改你的CorsConfigurationSource Bean，补充允许凭证、完整请求方法和请求头：

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    // 指定前端地址，不能用通配符*（和allowCredentials=true冲突）
    configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
    // 允许所有常用HTTP方法
    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
    // 允许认证、内容类型、CSRF Token相关请求头
    configuration.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type", "X-CSRF-TOKEN"));
    // 开启允许携带Cookie（必须项，否则JSESSIONID无法传递）
    configuration.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

2. 禁用表单登录的默认重定向，返回JSON响应 #

修改SecurityFilterChain配置，自定义登录成功/失败、登出成功的处理器，直接返回JSON结果，避免重定向：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/login").permitAll()
            .requestMatchers("/customers", "/products").authenticated()
        )
        .formLogin(form -> form
            .permitAll()
            // 登录成功返回JSON
            .successHandler((request, response, authentication) -> {
                response.setContentType("application/json;charset=UTF-8");
                PrintWriter writer = response.getWriter();
                writer.write("{\"success\": true, \"message\": \"登录成功\"}");
                writer.flush();
            })
            // 登录失败返回JSON
            .failureHandler((request, response, exception) -> {
                response.setContentType("application/json;charset=UTF-8");
                response.setStatus(HttpStatus.UNAUTHORIZED.value());
                PrintWriter writer = response.getWriter();
                writer.write("{\"success\": false, \"message\": \"" + exception.getMessage() + "\"}");
                writer.flush();
            })
        )
        .logout(logout -> logout
            .permitAll()
            // 登出成功返回JSON
            .logoutSuccessHandler((request, response, authentication) -> {
                response.setContentType("application/json;charset=UTF-8");
                PrintWriter writer = response.getWriter();
                writer.write("{\"success\": true, \"message\": \"登出成功\"}");
                writer.flush();
            })
        )
        .cors(cors -> cors.configurationSource(corsConfigurationSource()))
        .csrf(csrf -> csrf
            // 允许前端读取CSRF Token的Cookie（方便React携带CSRF头）
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
        )
        .headers(headers -> headers
            .frameOptions(frame -> frame.sameOrigin())
        );

    return http.build();
}

3. 前端配合说明 #

React前端发送登录请求时，需要：

• 开启withCredentials: true（Axios或Fetch配置），确保携带Cookie
• 读取并携带CSRF Token（从CookieXSRF-TOKEN中取出，放在请求头X-CSRF-TOKEN里）

额外说明 #

• 你之前遇到的重定向是Spring Security表单登录的默认行为，目的是在传统服务端渲染场景下跳转页面，但不适用于SPA跨域场景。
• allowCredentials=true和AllowedOrigins=*不能同时使用，这是浏览器的安全限制，必须指定具体的前端域名。

内容的提问来源于stack exchange，提问作者kelos