Apache Tomcat中Access-Control-Allow-Origin启用及CORS过滤器无效排查

阿华AIGC实验室

2026-5-11

解决Tomcat中CORS策略拦截问题

你已经尝试注册了Tomcat的CorsFilter，但问题出在没有配置具体的CORS规则——默认情况下这个过滤器不会自动允许任意跨域请求，必须明确设置允许的源、方法等参数。以下是完整的解决方案：

1. 完善web.xml中的CorsFilter配置

修改你现有的过滤器配置，添加必要的初始化参数，让Tomcat明确允许你的前端源：

<filter>
    <filter-name>CorsFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
    <!-- 允许的跨域源，这里填你的前端地址 -->
    <init-param>
        <param-name>cors.allowed.origins</param-name>
        <param-value>http://localhost:4200</param-value>
    </init-param>
    <!-- 允许的HTTP请求方法 -->
    <init-param>
        <param-name>cors.allowed.methods</param-name>
        <param-value>GET,POST,HEAD,OPTIONS,PUT</param-value>
    </init-param>
    <!-- 允许的请求头 -->
    <init-param>
        <param-name>cors.allowed.headers</param-name>
        <param-value>Content-Type,X-Requested-With,accept,Origin,Access-Control-Request-Method,Access-Control-Request-Headers</param-value>
    </init-param>
    <!-- 是否允许携带凭证（如Cookie），如果前端需要传Cookie的话设为true -->
    <init-param>
        <param-name>cors.support.credentials</param-name>
        <param-value>true</param-value>
    </init-param>
    <!-- 暴露给前端的响应头（可选） -->
    <init-param>
        <param-name>cors.exposed.headers</param-name>
        <param-value>Access-Control-Allow-Origin,Access-Control-Allow-Credentials</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CorsFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

2. 关键参数说明

cors.allowed.origins：指定允许跨域请求的源，你可以填*允许所有源（但生产环境不推荐），或者像示例中指定具体的http://localhost:4200更安全。
cors.allowed.methods：列出前端可能用到的HTTP方法，确保覆盖你的业务需求。
cors.support.credentials：如果你的前端请求需要携带Cookie或HTTP认证信息，必须设为true，同时前端请求也要设置withCredentials: true（比如Angular的HttpClient）。