Spring Cloud Gateway多值CORS头报错求助（2021.0.5版本）

问题分析 #

你遇到的Access-Control-Allow-Origin头包含多个值的问题，即便后端未显式配置CORS，也可能由以下原因导致：

• 后端依赖（如Spring Security、部分Web框架）自动添加了默认的Access-Control-Allow-Origin: *响应头
• 网关的DedupeResponseHeader过滤器配置未正确生效，无法处理冲突的头信息
• 全局CORS配置的语法细节问题，导致网关同时返回指定域名和默认的*

解决方案 #

1. 确认后端是否隐式返回CORS头 #

直接用curl请求后端接口，检查响应头中是否存在Access-Control-Allow-Origin：

curl -I http://你的后端服务地址/目标接口路径

如果返回Access-Control-Allow-Origin: *，说明后端存在隐式配置，需要找到来源（比如Spring Security的默认CORS逻辑、第三方依赖的自动配置）并关闭。

2. 调整网关的DedupeResponseHeader配置 #

当前配置中DedupeResponseHeader的规则可能不匹配场景，尝试修改为：

spring:
  application:
    name: ecs_api_gateway
  cloud:
    gateway:
      default-filters:
        # 强制保留第一个出现的头值，或改为RETAIN_LAST保留最后一个
        - DedupeResponseHeader=Access-Control-Allow-Origin, RETAIN_FIRST
        - DedupeResponseHeader=Access-Control-Allow-Credentials, RETAIN_FIRST
      globalcors:
        cors-configurations:
          '[/**]':
            # 单个origin建议用列表格式，避免解析异常
            allowed-origins: ["http://ayc.org"]
            allowed-methods: "*"
            allowed-headers: "*"
            allow-credentials: true

注意：RETAIN_UNIQUE会保留所有不同的头值，反而可能加剧多值冲突，改用RETAIN_FIRST或RETAIN_LAST可强制只保留一个有效值。

3. 用自定义过滤器强制覆盖CORS头 #

如果上述方法无效，添加网关全局过滤器，在响应阶段直接覆盖Access-Control-Allow-Origin头：

import org.springframework.cloud.gateway.filter.GatewayFilterChain;
import org.springframework.cloud.gateway.filter.GlobalFilter;
import org.springframework.core.Ordered;
import org.springframework.http.HttpHeaders;
import org.springframework.stereotype.Component;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

@Component
public class CorsHeaderOverrideFilter implements GlobalFilter, Ordered {

    private static final String ALLOWED_ORIGIN = "http://ayc.org";

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        return chain.filter(exchange).then(Mono.fromRunnable(() -> {
            exchange.getResponse().getHeaders().set(HttpHeaders.ACCESS_CONTROL_ALLOW_ORIGIN, ALLOWED_ORIGIN);
        }));
    }

    @Override
    public int getOrder() {
        // 设置最低优先级，确保在所有过滤器执行完成后覆盖头信息
        return Ordered.LOWEST_PRECEDENCE;
    }
}

该过滤器会在所有响应处理完成后，强制将Access-Control-Allow-Origin设置为指定域名，覆盖任何之前添加的头值。

4. 排查路由级CORS配置冲突 #

确保没有单个路由配置了独立的CORS规则，全局配置与路由级配置冲突也会导致多值问题。

内容的提问来源于stack exchange，提问作者Alex G