Spring Boot配置全局CORS后仍遭跨域拦截如何解决

云上老周

2026-8-26

问题根因

你遇到的CORS拦截问题核心是配置方式和配置优先级的问题，和你写的CORS规则本身关系不大：

你选择继承WebMvcConfigurationSupport来写MVC配置的方式，会直接导致Spring Boot默认的WebMvcAutoConfiguration自动配置失效——这个自动配置的加载条件是容器中不存在WebMvcConfigurationSupport类型的Bean，你自定义了子类之后，默认的MVC配置链路全量退出，你写的addCorsMappings在很多场景（比如存在自定义拦截器、Security配置）下不会被正确注册到请求处理链路里。
浏览器发跨域非简单请求之前，会先发OPTIONS方法的预检请求，你的配置里只显式放行了GET/POST/PUT/DELETE四个方法，没有覆盖OPTIONS；如果项目里有权限拦截器、Security配置，预检请求会在到达CORS处理逻辑之前就被拦截返回，响应里自然不会带Access-Control-Allow-Origin头，和你看到的报错完全匹配。
高版本Spring/Spring Boot中，allowedOrigins("*")和allowCredentials的组合存在兼容性校验问题，即使你设置allowCredentials(false)，部分版本也不会正确返回允许跨域的头。

修复方案

按优先级从高到低选择方案即可：

方案1：修改CORS配置的实现方式，不要继承WebMvcConfigurationSupport，改为实现WebMvcConfigurer接口，这是Spring官方推荐的自定义MVC配置的方式，不会破坏默认自动配置：

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                // 放行所有HTTP方法，包含预检需要的OPTIONS
                .allowedMethods("*")
                // 用allowedOriginPatterns代替allowedOrigins，兼容高版本的跨域校验逻辑
                .allowedOriginPatterns("*")
                .allowedHeaders("*")
                .allowCredentials(false)
                // 预检请求缓存1小时，减少重复预检请求
                .maxAge(3600);
    }
}

方案2：如果项目集成了Spring Security，必须在Security配置中显式开启CORS，同时放行所有OPTIONS预检请求。Security的过滤器链优先级远高于MVC层的CORS配置，不做这步配置的话MVC层的CORS规则永远不会生效：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        // 开启CORS，自动读取你定义的MVC层CORS配置
        .cors(Customizer.withDefaults())
        // 前后端分离场景建议关闭CSRF防护
        .csrf(csrf -> csrf.disable())
        .authorizeHttpRequests(auth -> auth
            // 无条件放行所有OPTIONS预检请求，避免被权限校验拦截
            .requestMatchers(HttpMethod.OPTIONS, "/**").permitAll()
            .anyRequest().authenticated()
        );
    return http.build();
}

方案3：如果上述配置仍然不生效，直接注册一个最高优先级的CORS过滤器，从过滤器层就设置跨域响应头，完全绕开后续拦截器、Controller层的逻辑：

@Bean
public CorsFilter corsFilter() {
    CorsConfiguration config = new CorsConfiguration();
    config.addAllowedOriginPattern("*");
    config.addAllowedMethod("*");
    config.addAllowedHeader("*");
    config.setAllowCredentials(false);
    config.setMaxAge(3600L);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
}

排查建议

可以先用接口测试工具直接发OPTIONS方法的请求到报错的接口地址，如果返回状态是401/403/404，说明请求根本没走到CORS处理逻辑，优先排查拦截器、Security、网关层的拦截规则
如果服务端前面挂了Nginx、网关等代理层，要确认代理层没有手动覆盖、删除响应里的CORS相关头

内容的提问来源于stack exchange，提问作者Clancinio