Spring Cloud Gateway Webflux整合Okta时CORS拦截请求如何解决

根因分析 #

1. Spring Security处理链优先级高于全局CORS过滤器，你当前未将自定义CORS配置绑定到SecurityWebFilterChain中，请求在进入CORS处理前就被Spring Security的权限校验拦截
2. OAuth2流程请求会携带认证凭证（Cookie、Authorization请求头），你配置的allowedOrigins = "*"不符合浏览器跨域规则：带凭证的请求不允许使用通配符源地址，同时必须显式开启allowCredentials = true
3. 浏览器发起的跨域OPTIONS预请求不会携带任何认证信息，会被你配置的/**路径需要认证的规则直接拦截，无法到达后续处理逻辑

修复代码 #

1. 调整CORS配置 #

@Bean
fun corsConfigurationSource() : CorsConfigurationSource {
    val corsConfig = CorsConfiguration()
    corsConfig.apply {
        // 替换为实际的前端访问地址，支持配置多个源
        allowedOrigins = mutableListOf("http://localhost:5173", "https://your-business-domain.com")
        // 开启允许携带凭证
        allowCredentials = true
        maxAge = 3600L
        addAllowedMethod("*")
        addAllowedHeader("*")
    }
    val source = UrlBasedCorsConfigurationSource()
    source.registerCorsConfiguration("/**", corsConfig)
    return source
}

2. 调整SecurityWebFilterChain配置 #

import org.springframework.http.HttpMethod
import org.springframework.security.config.web.server.ServerHttpSecurity
import org.springframework.security.web.server.SecurityWebFilterChain

@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
    return http
        .httpBasic().disable()
        .formLogin().disable()
        // 绑定自定义CORS配置到Spring Security处理链
        .cors(Customizer.withDefaults())
        .oauth2Login().and()
        .csrf{it.csrfTokenRepository(CookieServerCsrfTokenRepository())}
        .authorizeExchange()
        // 放行所有OPTIONS预请求
        .pathMatchers(HttpMethod.OPTIONS, "/**").permitAll()
        .pathMatchers("/actuator/health").permitAll()
        // 可选：显式放行Okta OAuth相关端点，减少拦截概率
        .pathMatchers("/oauth2/authorization/**", "/login/oauth2/code/**").permitAll()
        .pathMatchers("/**").authenticated()
        .and().build()
}

核心修改点说明 #

• 新增.cors(Customizer.withDefaults())配置，让Spring Security优先调用你定义的CorsConfigurationSource处理跨域逻辑
• 替换通配符源地址为实际前端地址，开启凭证允许配置，适配OAuth2带凭证的请求要求
• 放行OPTIONS预请求，避免跨域预检直接被权限规则拦截

内容的提问来源于stack exchange，提问作者rahul patel