Webflux配置CORS出现No Access-Control-Allow-Origin问题求助

一、你的CORS配置错误分析 #

你遇到的预检请求失败，核心问题出在allowedMethods的配置逻辑上：
你当前传入的是逗号分隔的字符串"GET,POST,DELETE,PUT,OPTIONS"，但WebFlux的CorsRegistration.allowedMethods()方法接受的是独立的字符串参数（可变参数形式），而非单个拼接字符串。这会导致框架将整个字符串识别为一个非法的HTTP方法，无法正确匹配OPTIONS预检请求，最终不会返回Access-Control-Allow-Origin响应头，触发浏览器的CORS拦截。

修复后的配置代码 #

@Configuration
@EnableWebFlux
public class CorsGlobalConfiguration implements WebFluxConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry corsRegistry) {
        corsRegistry.addMapping("/**")
                .allowedOrigins("*")
                // 改为传入多个独立的方法字符串，框架会正确识别每个HTTP方法
                .allowedMethods("GET", "POST", "DELETE", "PUT", "OPTIONS")
                .allowedHeaders("User-Agent", "Referer", "Origin", "Host", "Connection", 
                               "Access-Control-Request-Method", "Access-Control-Request-Headers", 
                               "Cache-Control", "X-Requested-With", "Content-Type", "Accept", 
                               "Accept-Encoding", "Accept-Language", "Authorization")
                .maxAge(3600);
    }
}

简化提示：如果不需要精确控制HTTP方法，也可以直接用.allowedMethods("*")允许所有方法，配置更简洁。

二、关于“使用过滤器处理CORS是最佳方式”的说法 #

这种说法并不绝对，两种方案各有适用场景：

• WebFluxConfigurer声明式配置：属于Spring官方提供的标准化配置方式，代码简洁、符合Spring生态的统一风格，适合全局统一的CORS规则场景，框架会自动处理预检请求的细节，无需手动操作请求/响应对象。
• CorsWebFilter编程式配置：灵活性更高，适合需要动态调整CORS规则的场景（比如从数据库读取允许的Origin列表、针对不同路径做差异化规则），或者在网关层（如Spring Cloud Gateway）统一处理跨域请求的场景。

如果你的项目只需要全局统一的CORS规则，当前的配置方式完全够用，没必要强行切换为过滤器。

内容的提问来源于stack exchange，提问作者datta900