Checkmarx扫描提示Spring过宽松CORS策略风险的解决咨询

可能的原因及修复步骤 #

1. 修正CORS配置格式 #

你当前的application.yaml中allowed-origins和allowed-methods的写法存在格式问题，Spring Boot会将逗号分隔的字符串解析为单个origin值（而非数组），导致配置不生效，最终触发扫描告警。正确的数组格式应该是每个元素单独一行并以-开头：

security:
  cors:
    allowed-origins:
      - https://example1.com
      - https://example2.com
    allowed-methods:
      - GET
      - POST
      - PUT

2. 检查控制器上的@CrossOrigin注解 #

如果你的控制器或方法上存在无参数的@CrossOrigin注解，它会覆盖全局CORS配置，默认允许所有跨域请求，这正是Checkmarx检测到的风险。处理方式：

• 移除多余的@CrossOrigin注解，让全局配置生效；
• 若必须保留该注解，需明确指定与全局一致的参数：

@CrossOrigin(
    origins = {"https://example1.com", "https://example2.com"},
    methods = {RequestMethod.GET, RequestMethod.POST, RequestMethod.PUT}
)
public JSONObject example(@RequestBody JSONObject param) {...}

3. 确保Spring Security启用CORS #

检查你的Spring Security配置类，确认已启用CORS支持，否则全局配置不会生效：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .cors(Customizer.withDefaults()) // 启用CORS，加载全局配置
        // 其他安全配置...
    return http.build();
}

4. 标记Checkmarx误报 #

如果以上配置都验证生效（可通过浏览器开发者工具查看响应头Access-Control-Allow-Origin是否为指定域名），但Checkmarx仍告警，说明是扫描器误报：

• 在Checkmarx平台找到对应告警，标记为误报（False Positive），并备注说明已验证CORS配置正确；
• 若此类误报频繁，可联系管理员调整扫描规则，排除合法的CORS配置场景。

内容的提问来源于stack exchange，提问作者33nya