已配置@CrossOrigin和请求头仍遭CORS拦截，求解决方案

问题原因分析 #

从报错信息和代码来看，导致跨域问题未解决的核心原因有以下几点：

1. 前端错误设置响应头字段
   你在前端请求头中添加的ACCESS_CONTROL_ALLOW_ORIGIN和ACCESS_CONTROL_ALLOW_CREDENTIALS是后端需要返回的响应头，并非前端请求时需要发送的字段。前端发送这些无效字段不仅无法解决跨域问题，还可能干扰预检请求（OPTIONS）的正常处理。

2. 后端Controller参数类型错误
   addCars方法中@RequestBody final car car的参数类型为小写car，而实体类通常为大写开头的Car。这个错误会导致Spring无法正确解析请求体，请求处理失败后无法返回正确的跨域响应头。

3. 全局拦截/安全配置覆盖
   如果项目使用了Spring Security或自定义全局拦截器，可能会拦截预检请求（OPTIONS），或者覆盖@CrossOrigin的配置，导致跨域响应头无法正常返回。

解决办法 #

1. 修正前端请求头配置 #

删除前端httpOptions中的无效响应头字段，仅保留必要的请求头：

readonly httpOptions = {
  headers: new HttpHeaders({
    "Content-Type": "application/json" // 指定请求体为JSON格式
  })
};

public save(car: Car) {
  return this.http.post('http://localhost:8080/api/car/create', car, this.httpOptions);
}

2. 修正后端Controller参数 #

将参数类型改为正确的实体类名（假设你的实体类为Car）：

@PostMapping(value = "/create")
@ResponseBody
@Transactional
public void addCars(@RequestBody final Car car) { // 小写car改为大写Car
    this.carRepository.save(car);
}

3. 处理全局拦截/安全配置 #

如果使用了Spring Security，需在安全配置中启用跨域支持：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            .csrf(csrf -> csrf.disable()) // 前后端分离场景可临时关闭，生产环境按需配置
            .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
        return http.build();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:4200"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(Arrays.asList("*"));
        configuration.setAllowCredentials(true);
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

如果有自定义拦截器，需确保OPTIONS请求被放行：

@Override
public void addInterceptors(InterceptorRegistry registry) {
    registry.addInterceptor(yourCustomInterceptor)
            .excludePathPatterns(request -> request.getMethod().equals(HttpMethod.OPTIONS.name()));
}

4. 改用全局跨域配置（可选） #

如果@CrossOrigin注解不生效，可以配置全局跨域规则替代单个Controller的注解：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("http://localhost:4200")
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowedHeaders("*")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

内容的提问来源于stack exchange，提问作者Zerox