Checkmarx检测Spring应用过宽CORS策略问题排查与解决

问题原因 #

主类上标注的@CrossOrigin是全局生效的——Spring中，标注了@SpringBootApplication或@Configuration的主类属于配置类，这类类上的@CrossOrigin会被应用到所有控制器的所有方法上。你主类里设了origins = "*"，意味着允许任意域名跨域访问，这正是Checkmarx判定为“过于宽松的CORS头”的原因，哪怕单个控制器没加@CrossOrigin，所有方法都会继承这个全局规则。

解决方法 #

• 缩小允许的源范围：把origins从通配符*改成具体的可信域名，比如：

  @CrossOrigin(origins = {"https://your-trusted-domain.com", "https://another-safe-domain.com"}, 
               allowedHeaders = "*", 
               methods = {RequestMethod.GET, RequestMethod.OPTIONS, RequestMethod.POST, RequestMethod.PUT, RequestMethod.DELETE})
  

• 按需配置CORS：如果不是所有接口都需要跨域，直接移除主类上的全局@CrossOrigin，只在需要跨域的控制器或方法上单独添加注解，并且同样指定具体可信源。
• 自定义精细配置：如果需要更复杂的规则（比如仅对特定路径生效），可以通过WebMvcConfigurer实现：

  @Configuration
  public class CorsConfig implements WebMvcConfigurer {
      @Override
      public void addCorsMappings(CorsRegistry registry) {
          registry.addMapping("/api/**") // 仅匹配指定路径下的接口
                  .allowedOrigins("https://your-trusted-domain.com")
                  .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                  .allowedHeaders("*")
                  .allowCredentials(true); // 若需携带Cookie，必须指定具体域名，不能用*
      }
  }
  

  注意：如果开启allowCredentials(true)，origins绝对不能设为*，否则浏览器会拒绝跨域请求，这也是安全扫描重点关注的风险点。

代码排查方向 #

• 确认主类的全局配置生效性：检查主类是否标注了@SpringBootApplication或@Configuration，这类类上的@CrossOrigin会被Spring识别为全局CORS规则。
• 排查多份CORS配置：检查项目中是否存在其他自定义的WebMvcConfigurer实现类、CORS Filter，避免配置叠加导致规则冲突。
• 验证实际响应头：用浏览器开发者工具或curl请求接口，查看返回的Access-Control-Allow-Origin头是否确实为*，确认Checkmarx的提示不是误报。
• 核对扫描规则：确认Checkmarx判定“过于宽松”的具体标准，比如是否是origins=*同时允许携带凭证的组合，这类组合属于高危安全问题。

内容的提问来源于stack exchange，提问作者Deepak