CORS运行机制解析及Spring Boot CORS自动返回403调整方案问询

你最初的认知第3点存在偏差，W3C官方CORS规范没有要求服务端对非白名单Origin返回403，该逻辑是部分框架的额外实现。

• 符合官方规范的流程为场景1：
  1. 浏览器自动为跨域请求添加Origin请求头，标识请求的源站
  2. 服务端收到请求后，如果Origin在允许白名单内，返回响应时携带Access-Control-Allow-Origin对应匹配的Origin值
  3. 如果Origin不在白名单内，规范仅要求服务端不返回任何CORS相关响应头即可，不需要修改响应状态码，业务逻辑可正常执行
  4. 浏览器收到响应后检查是否存在合法的Access-Control-Allow-Origin头，如果不存在或者值不匹配，就会拦截响应内容，在控制台抛出跨域错误，同时把请求的状态码标记为403，前端无法拿到响应数据，但服务端业务逻辑已执行完成
• 核心结论：规范要求下403错误的生成主体是浏览器，Spring Boot默认直接返回403的行为属于框架额外增加的安全校验，不属于CORS规范强制要求。

Spring Boot 自定义CORS处理配置（仅过滤响应头不返回403） #

方式1：重写默认CorsProcessor逻辑 #

直接修改Spring自带CorsFilter的校验逻辑，捕获Origin不匹配时的403异常，仅跳过CORS头设置即可：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.DefaultCorsProcessor;
import org.springframework.web.filter.CorsFilter;
import java.io.IOException;
import java.util.Collections;

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        CorsConfiguration config = new CorsConfiguration();
        // 配置允许的Origin白名单
        config.setAllowedOrigins(Collections.singletonList("http://example.com"));
        config.setAllowedMethods(Collections.singletonList("*"));
        config.setAllowedHeaders(Collections.singletonList("*"));
        config.setAllowCredentials(true);
        config.setMaxAge(3600L);

        CorsConfigurationSource source = request -> config;
        CorsFilter corsFilter = new CorsFilter(source);
        // 自定义处理逻辑，跳过非白名单Origin的403抛出
        corsFilter.setCorsProcessor(new DefaultCorsProcessor() {
            @Override
            protected boolean handleInternal(org.springframework.http.server.ServerHttpRequest request, 
                                            org.springframework.http.server.ServerHttpResponse response, 
                                            CorsConfiguration config, boolean preFlightRequest) throws IOException {
                try {
                    return super.handleInternal(request, response, config, preFlightRequest);
                } catch (IOException e) {
                    // 捕获Origin不匹配抛出的403异常，直接放行，不设置CORS头
                    return true;
                }
            }
        });
        return corsFilter;
    }
}

方式2：手动实现全局拦截器处理CORS头 #

关闭Spring默认CORS校验，自行通过拦截器按需添加响应头：

1. 先关闭Spring默认CORS校验，使用Spring Security的用户还需要在Security配置中添加http.cors().disable()：

# application.properties
spring.web.cors.enabled=false

2. 编写自定义CORS拦截器：

import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.Arrays;
import java.util.List;

public class CustomCorsInterceptor implements HandlerInterceptor {
    // 配置允许的Origin白名单
    private static final List<String> ALLOWED_ORIGINS = Arrays.asList("http://example.com", "http://test.com");

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String origin = request.getHeader("Origin");
        if (origin != null && ALLOWED_ORIGINS.contains(origin)) {
            response.setHeader("Access-Control-Allow-Origin", origin);
            response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
            response.setHeader("Access-Control-Allow-Headers", "*");
            response.setHeader("Access-Control-Allow-Credentials", "true");
            response.setHeader("Access-Control-Max-Age", "3600");
            // 预检请求直接返回200
            if ("OPTIONS".equals(request.getMethod())) {
                response.setStatus(HttpServletResponse.SC_OK);
                return false;
            }
        }
        // 非白名单Origin不添加CORS头，直接放行
        return true;
    }
}

3. 注册拦截器到Spring容器：

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new CustomCorsInterceptor()).addPathPatterns("/**");
    }
}

提示：如果使用了Spring Gateway等网关组件，需要在网关层统一做CORS处理，避免下游服务重复配置导致冲突。

内容的提问来源于stack exchange，提问作者kane