Scala/Akka HTTPS服务使用akka-http-cors出现跨域错误如何解决

问题根因 #

报错核心原因有两个常见可能：

1. 默认CorsSettings规则不符合请求场景，部分新版akka-http-cors的默认配置未开放所有请求方法与自定义头
2. 未处理浏览器的CORS预检OPTIONS请求，预检请求未匹配到路由直接返回405，导致CORS响应头无法被正确添加

可行解决方案 #

1. 显式配置CORS规则 #

替换默认的CorsSettings，手动指定允许的源、请求方法和请求头：

import ch.megard.akka.http.cors.scaladsl.CorsDirectives._
import ch.megard.akka.http.cors.scaladsl.settings.CorsSettings
import ch.megard.akka.http.cors.scaladsl.model.HttpOriginRange
import akka.http.scaladsl.model.HttpMethods

val corsSettings = CorsSettings.defaultSettings
  // 本地测试允许所有源，生产环境建议替换为指定源：HttpOriginRange(HttpOrigin("http://localhost:3000"))
  .withAllowedOrigins(HttpOriginRange.*)
  // 明确允许预检OPTIONS请求和业务用到的POST等方法
  .withAllowedMethods(scala.collection.immutable.Seq(
    HttpMethods.OPTIONS, HttpMethods.POST, HttpMethods.GET, HttpMethods.PUT, HttpMethods.DELETE
  ))
  // 允许所有请求头，可根据业务场景缩窄范围
  .withAllowedHeaders(HttpHeaderRange.*)
  // 如果请求不需要携带Cookie等凭证设为false即可，需要的话必须设为true且allowedOrigins不能使用通配符*
  .withAllowCredentials(false)

2. 路由层添加预检请求处理 #

浏览器发送跨域POST请求前会先发送OPTIONS预检请求，需要在路由中优先处理该类请求，避免匹配失败返回无CORS头的错误响应：

lazy val theRequestRoutes: Route =
  cors(corsSettings) {
    // 统一处理所有OPTIONS预检请求，直接返回200状态码即可
    options {
      complete(StatusCodes.OK)
    } ~
    pathPrefix("getsearchresult") {
      post { 
        entity(as[Server.ReqGetSearchResult]) { request: ReqGetSearchResult =>
          val operationPerformed: Future[Server.ServerResponse] = controller.ask(ControllerActor.Request_GetSearchResult(_, request))
          onSuccess(operationPerformed) {
            case Server.Send_Response_Success(jsonResponse) => complete(jsonResponse)
            case Server.Send_Response_Failure(status) => complete("""{"status":"server_error"}""")
          }
        }
      }
    }
  }

3. 版本兼容性校验 #

你使用的akka-http-cors 1.1.2版本仅适配akka-http 10.2.x系列，如果你的项目使用akka-http 10.3.x及以上版本，需要升级akka-http-cors到对应兼容版本。

验证方式 #

可以通过curl命令直接发送预检请求验证配置是否生效：

curl -v -X OPTIONS -H "Origin: http://localhost:3000" -H "Access-Control-Request-Method: POST" https://api.domain.com:8080/getsearchresult

如果返回头中包含Access-Control-Allow-Origin: *或者http://localhost:3000，说明配置已经生效。

内容的提问来源于stack exchange，提问作者MJey