Spring Boot配置CORS无效，Vue端仍遇跨域问题如何解决？

• 定义明确的CorsConfigurationSource Bean
  仅调用http.cors()会使用Spring默认的CORS配置，可能无法匹配你的实际需求。显式定义CORS配置Bean，精准控制允许的源、方法和请求头：

  @Bean
  fun corsConfigurationSource(): CorsConfigurationSource {
      val config = CorsConfiguration()
      config.allowedOriginPatterns = listOf("*") // 生产环境建议替换为具体前端域名
      config.allowedMethods = listOf("GET", "POST", "PUT", "DELETE", "OPTIONS")
      config.allowedHeaders = listOf("*")
      config.allowCredentials = true // 若前端需携带Cookie等凭证，需开启此选项
  
      val source = UrlBasedCorsConfigurationSource()
      source.registerCorsConfiguration("/**", config)
      return source
  }
  

  配置后http.cors()会自动使用该Bean，无需额外绑定。

• 放行OPTIONS预检请求
  带自定义头或JSON体的跨域请求会先发送OPTIONS预检请求，需确保Spring Security允许这类请求通过：

  import org.springframework.http.HttpMethod
  
  http.authorizeRequests()
      .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
      .antMatchers(REGISTRATION_PATH, AUTHENTICATION_PATH).permitAll()
      .anyRequest().authenticated()
  

• 移除冲突的@CrossOrigin注解
  Spring Security的全局CORS配置与控制器上的@CrossOrigin可能产生冲突，建议统一使用Security层面的配置，删除控制器类或方法上的@CrossOrigin注解。

• 检查过滤器执行顺序
  若项目中有自定义过滤器，需确保CORS过滤器的执行优先级最高。可通过@Order(Ordered.HIGHEST_PRECEDENCE)标记自定义过滤器，避免CORS头未设置就被拦截。

• 排查网关层的CORS配置
  若API前端部署了网关（如Spring Cloud Gateway、Nginx），网关层的CORS配置会覆盖后端配置。以Nginx为例，需添加如下配置：

  location / {
      add_header Access-Control-Allow-Origin *;
      add_header Access-Control-Allow-Methods 'GET, POST, PUT, DELETE, OPTIONS';
      add_header Access-Control-Allow-Headers '*';
  
      if ($request_method = 'OPTIONS') {
          return 204;
      }
  }
  

• 核对Vue端请求配置
  若Vue使用axios发送请求，若开启了withCredentials: true，后端需将allowedOriginPatterns改为具体前端域名（不能用*），否则跨域会失败。示例：

  axios.defaults.withCredentials = true;
  

内容的提问来源于stack exchange，提问作者Jaisy