CORS预检成功但实际请求403报错问题求助

核心问题定位 #

既然预检请求成功、多数场景（你上传/用户传其他文件）正常，说明基础CORS配置没问题，403是实际请求触发了网关或后端的其他安全拦截规则，而非CORS本身的限制。

可能的原因及排查方向 #

• 特定XML文件的内容触发安全拦截
  比如XML包含DOCTYPE外部实体引用、特殊字符、敏感内容，触发了Spring Security的XML防护过滤器、网关WAF或后端的XML解析安全策略，直接拒绝请求。
• 请求大小超限
  该XML文件体积刚好超过网关/后端服务设置的multipart请求大小阈值，被拦截返回403。
• 用户端环境差异
  用户浏览器的插件、隐私模式可能给请求额外添加了自定义头（比如某些安全插件加的特殊标识头），虽然CORS允许*头，但后端安全组件不认可这类非标准头。
• 网关过滤器优先级冲突
  网关中其他过滤器（比如权限校验、路径重写）的执行顺序在CORS过滤器之前，对特定请求提前返回了403。

具体解决步骤 #

1. 抓包对比请求差异
   让用户导出浏览器网络面板的HAR文件，对比你成功的请求和用户失败的请求：检查请求头是否有额外字段、请求体大小、XML文件内容的差异。也可以用Postman模拟用户的请求头+该XML文件，复现问题。
2. 查看网关/后端日志
   重点排查Spring Cloud Gateway的过滤器日志、Spring Security的拦截日志，找到403的具体触发原因（比如日志里会明确是“文件过大”“XML非法内容”还是“未知请求头”）。
3. 针对性调整配置
   • 如果是文件大小问题：在网关配置中添加/调整

     spring:
       servlet:
         multipart:
           max-file-size: 100MB # 根据实际需求调整
           max-request-size: 100MB
     

     同时确保后端服务也配置了对应的文件大小限制。
   • 如果是XML内容触发拦截：修改后端XML解析的安全配置，比如禁用外部实体解析，或者在网关的安全规则中添加该文件内容的白名单。
   • 如果是用户端环境问题：指导用户禁用浏览器插件、用无痕模式测试；若确实是自定义头导致，可在网关CORS配置中明确允许该头（虽然配置了*，但部分安全组件需要显式声明）。
   • 如果是过滤器优先级问题：调整网关过滤器的执行顺序，确保CORS过滤器优先执行，或检查权限过滤器是否对该请求路径有错误的拦截规则。

内容的提问来源于stack exchange，提问作者Noor Ahmad