Spring Security MVC DSL的CorsDsl为何缺少configurationSource属性

核心区别原因 #

• 针对 MVC 场景的 CorsDsl 不提供 configurationSource 属性，是因为框架内置了自动探测逻辑：Spring Security 初始化 CORS 过滤器时，会直接从应用上下文中查找已注册的 CorsConfigurationSource Bean，不需要在 DSL 块内手动传入。这种设计是为了和 Spring MVC 原生的 CORS 配置体系打通，避免配置重复。
• 针对 WebFlux 场景的 ServerCorsDsl 暴露 configurationSource 属性，是因为 WebFlux 生态没有和 MVC 等价的全局 CORS 配置自动适配链路，官方通过该属性支持直接在安全配置块内完成配置源绑定，减少配置步骤。

旧配置迁移方案 #

原有链式写法 http.cors().configurationSource { ... } 迁移到新版 Kotlin DSL 时，不需要在 cors {} 块内寻找对应的属性，按 MVC 规范调整即可：

1. 把原有 CORS 配置封装为独立的 Spring Bean 注册到容器：

   @Bean
   fun corsConfigurationSource(): CorsConfigurationSource {
       val corsConfig = CorsConfiguration().applyPermitDefaultValues()
       return UrlBasedCorsConfigurationSource().apply {
           registerCorsConfiguration("/**", corsConfig)
       }
   }
   

2. 在安全 DSL 块中仅保留 CORS 开启声明即可，框架会自动关联容器中的配置源：

   http {
       cors {
           // 无需手动指定配置源，自动匹配上下文中的CorsConfigurationSource Bean
       }
   }
   

内容的提问来源于stack exchange，提问作者Ivan Pavlov