Spring Security CORS策略拦截问题：配置无效求助

我来帮你一步步拆解这个CORS问题，首先你提到CorsFilter的断点没触发，这是核心线索——说明请求根本没走到Spring的CORS过滤逻辑，我们从这里入手排查：

1. 检查SecurityFilterChain的配置顺序 #

Spring Security的过滤器执行顺序极其严格，cors()必须放在csrf()和认证类过滤器之前，否则CORS逻辑会被直接跳过。你的dev环境配置应该遵循这个顺序：

@Bean
@Profile("dev")
SecurityFilterChain devSecurityFilterChain(HttpSecurity http) throws Exception {
    http
        .cors(withDefaults()) // 必须放在最靠前的位置
        .csrf(csrf -> csrf.disable()) // 按需配置，比如开发环境可临时关闭
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/api/**").permitAll()
            .anyRequest().authenticated()
        );
    return http.build();
}

如果cors()在authorizeHttpRequests()之后，请求会先被权限拦截，根本到不了CORS过滤器环节。

2. 补全CorsConfigurationSource Bean的关键配置 #

你的Bean可能遗漏了一些匹配请求的必要配置：

• 确保allowedHeaders覆盖Angular请求发送的所有头（比如Content-Type、Authorization），测试阶段可以直接设为*
• 如果请求带Cookie或认证信息，必须开启allowCredentials(true)
• 确认registerCorsConfiguration用/**覆盖所有接口路径

示例完整配置：

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowedOrigins(Arrays.asList("https://localtest.me:4200", "http://localtest.me:4200"));
    config.setAllowedMethods(Arrays.asList("GET", "POST"));
    config.setAllowedHeaders(Collections.singletonList("*")); // 允许所有头用于测试
    config.setAllowCredentials(true); // 若Angular请求带Cookie必须开启
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", config); // 对所有路径生效
    return source;
}

3. 排除配置冲突：@CrossOrigin vs Security CORS #

同时使用@CrossOrigin注解和Security层面的CORS配置容易产生冲突，建议先暂时移除所有@CrossOrigin注解，只保留Security的CORS配置测试——因为Security的CORS过滤器优先级更高，注解配置可能被覆盖或不生效。

4. 核对浏览器实际发送的Origin值 #

有时候你配置的Origin和浏览器实际发送的不一致：

• 打开浏览器开发者工具→Network标签
• 找到你的API请求，查看Request Headers里的Origin字段
• 确认这个值完全匹配你配置的allowedOrigins（必须包含协议、域名、端口，比如https://localtest.me:4200不能省略https://）

5. 检查是否有其他过滤器提前拦截请求 #

如果自定义了过滤器，或者引入了其他安全框架，可能在CorsFilter之前就拦截了请求。可以通过以下代码打印过滤器顺序，确认CorsFilter的位置：

@Autowired
private FilterChainProxy filterChainProxy;

@PostConstruct
public void printFilters() {
    filterChainProxy.getFilterChains().forEach(chain -> {
        chain.getFilters().forEach(filter -> {
            System.out.println(filter.getClass().getSimpleName());
        });
    });
}

确保CorsFilter出现在UsernamePasswordAuthenticationFilter、BasicAuthenticationFilter等认证过滤器之前。

6. 处理预检OPTIONS请求 #

如果你的Angular请求是复杂请求（比如带自定义头、非GET/POST方法），浏览器会先发送OPTIONS预检请求。要确保Spring Security允许OPTIONS请求通过：
在authorizeHttpRequests中添加：

.requestMatchers(HttpMethod.OPTIONS, "/**").permitAll()

最后验证步骤 #

1. 重启Spring Boot应用，确保dev环境的Security配置生效
2. 用Postman直接发送OPTIONS请求到你的API，查看响应头是否包含Access-Control-Allow-Origin等CORS相关头
3. 再测试Angular的请求，同时观察浏览器Network里的响应头是否正确返回CORS头

内容的提问来源于stack exchange，提问作者Jason