如何彻底禁用Spring Cloud Gateway的CORS以避免重复响应头

1. 全局禁用网关CORS过滤器 #

方案A：移除全局CORS配置+去重响应头 #

1. 删除配置文件中所有spring.cloud.gateway.globalcors相关配置
2. 添加全局去重过滤器，保留后端服务返回的第一个CORS头：

spring.cloud.gateway.default-filters[0]=DedupeResponseHeader=Access-Control-Allow-Origin, RETAIN_FIRST
spring.cloud.gateway.default-filters[1]=DedupeResponseHeader=Access-Control-Allow-Headers, RETAIN_FIRST
spring.cloud.gateway.default-filters[2]=DedupeResponseHeader=Access-Control-Allow-Methods, RETAIN_FIRST

此方式既禁用网关自动添加CORS头，又处理可能的重复头问题。

方案B：Java配置覆盖默认CORS过滤器 #

创建配置类，替换默认的CORS过滤器为无操作实现：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.reactive.CorsWebFilter;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

@Configuration
public class DisableGatewayCorsConfig {

    @Bean
    public CorsWebFilter corsWebFilter() {
        return (ServerWebExchange exchange) -> Mono.empty();
    }
}

该配置会覆盖网关默认的CORS过滤器，使其不再处理CORS逻辑。

2. 路由级别禁用/处理CORS #

如果仅需针对特定路由处理，可在路由配置中添加去重过滤器：

Java路由配置修改 #

@Bean
public RouteLocator myRoutes(RouteLocatorBuilder builder) {
    return builder.routes()
            .route(p -> p.path("/users/**")
                    .uri("https://localhost:9443")
                    .filters(f -> f.dedupeResponseHeader("Access-Control-Allow-Origin", "RETAIN_FIRST")
                            .dedupeResponseHeader("Access-Control-Allow-Headers", "RETAIN_FIRST")))
            .route(p -> p.path("/greet/**")
                    .uri("https://localhost:9445")
                    .filters(f -> f.dedupeResponseHeader("Access-Control-Allow-Origin", "RETAIN_FIRST")))
            .route(p -> p.path("/realms/**")
                    .uri("https://localhost:8443"))
            .build();
}

YAML配置文件方式 #

spring:
  cloud:
    gateway:
      routes:
        - id: users-route
          uri: https://localhost:9443
          predicates:
            - Path=/users/**
          filters:
            - DedupeResponseHeader=Access-Control-Allow-Origin, RETAIN_FIRST
            - DedupeResponseHeader=Access-Control-Allow-Headers, RETAIN_FIRST
        - id: greet-route
          uri: https://localhost:9445
          predicates:
            - Path=/greet/**
          filters:
            - DedupeResponseHeader=Access-Control-Allow-Origin, RETAIN_FIRST
        - id: realms-route
          uri: https://localhost:8443
          predicates:
            - Path=/realms/**

验证 #

重启网关后：

• 检查响应头，确认CORS头仅出现一次
• 客户端Angular应用通过网关请求正常，无CORS错误
• 直连后端服务时CORS功能保持正常

内容的提问来源于stack exchange，提问作者ch4mp