Spring Boot部署Pivotal Cloud Foundry后CORS响应头缺失问题排查

我来帮你梳理下可能导致这个问题的几个关键点——毕竟在Pivotal Cloud Foundry（PCF）这类云平台部署时，一些环境层面的细节很容易被忽略：

1. 先确认全局CORS配置的正确性 #

首先检查你的全局配置是否符合Spring 4.2的规范，正确的实现应该是这样的：

@Configuration
public class CorsConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*") // 建议替换为实际业务允许的前端域名，不要用通配符在生产环境
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowedHeaders("*")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

你用的是Spring 4.2，继承WebMvcConfigurerAdapter是正确的，这点没问题。

2. PCF路由层可能拦截了OPTIONS请求 #

PCF的gorouter默认会自行处理OPTIONS请求，直接返回200响应而不转发到你的应用——这就导致你的CORS配置根本没机会生效。解决这个问题需要设置应用环境变量禁用该行为：

• 执行PCF命令：cf set-env YOUR_APP_NAME ROUTER_PROCESS_OPTIONS false
• 重启应用：cf restart YOUR_APP_NAME

这个配置会让gorouter把OPTIONS请求转发到你的Spring Boot应用，这样你的CORS规则就能正常处理并返回对应响应头了。

3. 检查是否有其他过滤器提前拦截请求 #

如果你的应用使用了Spring Security或者自定义Filter，这些组件可能在CORS过滤器之前执行，导致OPTIONS请求被提前处理。比如Spring Security需要单独配置CORS：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and() // 优先启用CORS配置
            .authorizeRequests()
            // 其他安全规则配置...
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("*"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(Arrays.asList("*"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

如果同时配置了WebMvc和Spring Security的CORS，建议统一用Spring Security的配置，避免规则冲突。

4. 验证OPTIONS请求是否真的到达应用 #

可以添加一个简单的日志过滤器，确认请求是否被转发到应用：

@Component
public class CorsLoggingFilter extends OncePerRequestFilter {
    private static final Logger logger = LoggerFactory.getLogger(CorsLoggingFilter.class);

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            logger.info("Received OPTIONS request for path: {}", request.getRequestURI());
        }
        filterChain.doFilter(request, response);
    }
}

如果日志里没有OPTIONS请求的记录，说明还是PCF路由层的问题，回到第二步重新检查环境变量设置。

5. 用curl验证响应头 #

最后用curl命令测试OPTIONS请求，查看实际响应头：

curl -X OPTIONS -H "Origin: http://your-frontend-domain.com" -i https://your-pcf-app-url.com/your-endpoint

配置正确的话，你应该能看到Access-Control-Allow-Origin、Access-Control-Allow-Methods等CORS相关响应头。

大概率是PCF路由层拦截了OPTIONS请求，先试试设置ROUTER_PROCESS_OPTIONS为false，应该能解决问题。

内容的提问来源于stack exchange，提问作者Patheek Chokshi