Spring CORS Filter配置Access-Control-Allow-Private-Network无效排查

1. 过滤器未触发的核心原因 #

你的自定义过滤器未生效，主要是因为Spring内置的CorsFilter优先级高于你的过滤器，提前拦截了OPTIONS预检请求，导致你的代码没有执行机会。此外，仅通过@Component+@Order注册过滤器，在部分Spring Boot版本或配置场景下无法保证执行顺序的正确性。

2. 正确解决方案：将私有网络头整合到Spring CORS配置中 #

不要单独依赖自定义过滤器，而是直接扩展Spring的CORS配置，确保Access-Control-Allow-Private-Network头同时出现在预检请求和实际请求的响应中。

步骤1：替换原有配置为带自定义头的CORS过滤器 #

删除你的MyConfig类，改用以下配置类，直接构建包含私有网络头的CORS规则：

@Configuration
public class CorsConfig {

    @Bean
    public CorsFilter corsFilter() {
        CorsConfiguration corsConfig = new CorsConfiguration();
        // 生产环境请替换为你的公网应用域名，不要用*
        corsConfig.addAllowedOriginPattern("*");
        corsConfig.addAllowedMethod("*");
        corsConfig.addAllowedHeader("*");
        corsConfig.setAllowCredentials(true);
        // 暴露自定义头（确保前端能获取到）
        corsConfig.addExposedHeader("Access-Control-Allow-Private-Network");
        
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", corsConfig);
        
        return new CorsFilter(source);
    }

    // 额外添加过滤器确保预检请求返回私有网络头
    @Bean
    public FilterRegistrationBean<PrivateNetworkHeaderFilter> privateNetworkFilter() {
        FilterRegistrationBean<PrivateNetworkHeaderFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new PrivateNetworkHeaderFilter());
        registrationBean.addUrlPatterns("/*");
        // 设置优先级高于Spring内置CORS过滤器
        registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return registrationBean;
    }

    static class PrivateNetworkHeaderFilter implements Filter {
        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
            HttpServletResponse httpResponse = (HttpServletResponse) response;
            // 对所有请求（包括OPTIONS预检）添加私有网络允许头
            httpResponse.setHeader("Access-Control-Allow-Private-Network", "true");
            chain.doFilter(request, response);
        }
    }
}

步骤2：移除原有的MyFilter类 #

上述配置已包含添加私有网络头的逻辑，无需保留单独的过滤器。

3. 关键注意事项 #

• 预检请求必须返回该头：Chrome的私有网络访问检查要求OPTIONS预检请求必须携带Access-Control-Allow-Private-Network: true，上述过滤器会覆盖所有请求类型。
• 生产环境安全配置：不要在生产环境中使用addAllowedOriginPattern("*")，请替换为你的公网应用具体域名，避免跨域安全风险。
• 版本兼容性：该方案适用于Spring Boot 2.7+及3.x版本，旧版本可能需要调整配置方式。

4. 验证方法 #

1. 启动Spring Boot应用后，用curl发送OPTIONS请求到本地API，检查响应头是否包含Access-Control-Allow-Private-Network: true：

   curl -X OPTIONS http://localhost:你的端口/api路径 -i
   

2. 重新用Chrome访问公网应用，调用本地API，确认CORS错误消失。

内容的提问来源于stack exchange，提问作者bdev