未配置CORS的Spring Boot应用为何允许跨源RestTemplate请求？

问题核心原因 #

CORS（跨域资源共享）限制仅作用于浏览器环境下的跨域请求，服务端之间的HTTP调用（你当前使用RestTemplate发起的请求就属于这类）不受浏览器同源策略约束，自然也不会触发CORS校验，因此请求可以正常成功。

1. 同源策略与CORS的适用边界 #

• 同源策略是浏览器专属的安全机制，仅限制从浏览器中发起的、跨不同源（协议、域名、端口三者任意一个不同）的HTTP请求
• 服务端程序发起的HTTP请求本质是普通的Socket网络通信，没有浏览器层面的安全拦截逻辑，只要网络连通、目标服务端接口允许访问，就能正常获取返回结果

2. 你的调用链路逻辑 #

你当前的请求链路为：

用户浏览器 → 客户端应用/test接口 → 客户端应用通过RestTemplate调用服务端/data接口 → 结果逐层返回给浏览器
整个流程中唯一可能触发CORS校验的场景是「浏览器直接向服务端/data发起请求」，或是「前端页面AJAX直接调用服务端接口」，而你代码里的跨域调用发生在两个服务端程序之间，因此不会触发CORS校验。

3. 额外补充 #

即使你没有在服务端做任何CORS配置，只要是服务端之间的调用，不管跨端口、跨域名，都可以正常请求成功。你之前的预期偏差是混淆了CORS规则的适用范围。

内容的提问来源于stack exchange，提问作者user10837120