SpringBoot配Security后React取数失败，报未定义用户名与CORS跨域错误

报错逻辑拆解 #

你看到的两层报错是因果链关系，不是两个独立故障：

• 首要触发原因：前端拼接待办数据请求的URL时，用于替换路径参数的username变量取值为undefined，最终拼出了http://localhost:8080/users/undefined/todos这种畸形请求地址。
• 次生误导性报错：这个畸形请求到达后端时，由于你新增了Spring Security安全配置，未携带合法认证信息的请求会被安全过滤器链直接拦截，返回401/403错误，且该响应不会携带跨域允许的响应头。浏览器在跨域场景下无法读取无权限头的响应，才抛出了「CORS策略阻断请求」的提示——这个提示是浏览器的通用报错话术，不代表你原本的CORS配置存在问题。

故障出现的触发边界 #

在添加Spring Security配置前链路正常，配置后出现问题的核心原因有两个：

1. 前端原本获取username值的接口，被Spring Security默认的全量拦截规则拦截，返回未认证错误，前端拿不到用户信息后，username变量自然赋值为undefined
2. 你之前配置的CORS规则位于普通拦截器/全局过滤器层，执行优先级低于Spring Security的过滤器链，被拦截的错误响应根本走不到CORS处理逻辑，无法自动带上跨域允许头。你之前单独调整CORS配置没有解决问题，就是因为这部分CORS逻辑的执行顺序在安全拦截之后，改了也不会作用到被拦截的错误响应上。

分步修复操作 #

• 第一步：定位undefined的来源
  打开浏览器Network面板，找到失败的待办请求，检查前端代码中拼接该URL时引用的username变量取值来源：
  • 如果变量值来自后端接口返回，直接在控制台手动调用该用户信息接口，确认接口是否被安全规则拦截
  • 如果变量值来自本地存储，检查当前登录流程是否能正常把用户名写入本地存储
• 第二步：调整Spring Security配置顺序
  将CORS支持的优先级提升至安全过滤器链的最前端，确保所有响应（包括未认证的错误响应）都能携带跨域允许头；同时把登录接口、当前用户信息查询接口加入安全放行规则，避免这类基础接口被默认拦截。
• 第三步：增加前端兜底校验
  当检测到username值为空/未定义时，不发起待办拉取请求，直接跳转登录页，避免拼出带undefined的畸形请求。

故障严重程度说明 #

该问题属于安全配置优先级错误导致的链路故障，不存在数据损坏、安全漏洞等高风险问题，按上述步骤修复通常可在10分钟内解决，不属于严重故障。

内容的提问来源于stack exchange，提问作者codelover