Spring Boot如何为指定接口单独放行未配置的请求源？

可以实现这个需求，核心思路是为/start-payment接口单独配置CORS规则，利用Spring CORS配置的路径优先级（精确路径优先于通配符路径），让该接口绕过全局的源限制，同时支持无Origin的请求。

具体修改步骤 #

修改你的WebConfiguration类，在全局CORS配置之外，为/start-payment路径添加单独的CORS规则：

@Configuration
public class WebConfiguration {

    @Value("${allowed.origins}")
    private String[] allowedOrigins;
    private String[] allowedMethods = {"GET","HEAD","OPTIONS","POST","PUT","DELETE"};

    @Bean
    public FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        
        // 全局默认CORS配置（仅允许指定源）
        CorsConfiguration globalConfig = new CorsConfiguration();
        globalConfig.setAllowCredentials(true);
        globalConfig.addAllowedHeader("*");
        globalConfig.setAllowedMethods(Arrays.asList(allowedMethods));
        globalConfig.setAllowedOrigins(Arrays.asList(allowedOrigins));
        source.registerCorsConfiguration("/**", globalConfig);
        
        // 支付接口专属CORS配置（允许所有源+无Origin请求）
        CorsConfiguration paymentConfig = new CorsConfiguration();
        paymentConfig.setAllowCredentials(true);
        paymentConfig.addAllowedHeader("*");
        paymentConfig.setAllowedMethods(Arrays.asList(allowedMethods));
        // 使用OriginPattern适配Spring Boot 2.4+，允许任意源
        paymentConfig.setAllowedOriginPatterns(Collections.singletonList("*"));
        // 兼容旧版本可替换为：paymentConfig.setAllowedOrigins(Collections.singletonList("*"))
        source.registerCorsConfiguration("/start-payment", paymentConfig);
        
        FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));
        bean.setOrder(0);
        return bean;
    }
}

关键说明 #

1. 路径优先级：Spring的UrlBasedCorsConfigurationSource会优先匹配精确路径（/start-payment），再匹配通配符路径（/**），因此支付接口会使用专属的宽松规则。
2. 无Origin请求处理：当请求没有携带Origin头时（比如部分iframe场景），Spring的CORS过滤器会自动跳过校验，直接放行，无需额外配置。
3. 原@CrossOrigin注解失效原因：全局CORS过滤器的order=0优先级极高，会在控制器层面的@CrossOrigin处理之前拦截请求，因此单独加注解无法生效，必须通过过滤器层面的路径配置来实现。

可选进阶（严格限制仅全局未提及的源） #

如果需要严格限制仅允许全局配置外的源访问该接口（而非所有源），可以自定义CORS校验逻辑：

• 自定义CorsFilter的子类，在doFilterInternal方法中检查请求的Origin头：
  • 若Origin为空，直接放行
  • 若Origin存在且不在allowedOrigins数组中，放行
  • 其他情况（在全局列表中），按全局规则处理

不过这种场景实际需求较少，通常允许所有源的配置已经能满足iframe调用的需求。

内容的提问来源于stack exchange，提问作者Gaurav Shah