Spring Security CORS过滤器允许无Origin头请求问题咨询

好问题！这确实是CORS机制和Spring Security CORS过滤器的预期行为，我来给你拆解清楚：

是的，这完全符合CORS的设计逻辑。CORS（跨源资源共享）本质上是浏览器专属的安全机制，只有当浏览器发起跨源请求时，才会自动在请求头中添加Origin字段，用来标识请求的来源域。

而以下场景的请求通常不会携带Origin头：

• 浏览器发起的同源请求（请求的协议、域名、端口和当前页面完全一致）
• 非浏览器客户端发起的请求（比如Postman、curl、后端服务间的内部调用）

Spring Security的CORS过滤器核心职责是校验跨源请求的合法性，对于没有Origin头的请求，它会默认判定这不属于跨域场景，因此不会触发CORS校验逻辑，直接放行请求——这是合理的，因为这类请求要么是安全的同源请求，要么是不受浏览器CORS规则约束的非浏览器请求。

这取决于你的API的业务场景，大部分情况下并不合理，原因如下：

• 会拦截合法的同源浏览器请求：浏览器发起同源请求时不会主动添加Origin头，强制拦截会导致正常的前端页面无法调用API。
• 会拦截非浏览器的合法调用：比如后端服务之间的内部协作、测试工具的调试请求，这些场景通常也不会带Origin头，但属于合法的业务请求。

如果你的API有特殊需求（比如只允许特定的跨域客户端访问，拒绝所有非跨域请求），那可以通过自定义过滤器来实现，但这已经超出了CORS的职责范围。比如你可以在Spring Security的过滤器链中添加一个前置过滤器，检查请求是否包含Origin头，没有则直接返回403：

@Component
public class OriginRequiredFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        String origin = request.getHeader("Origin");
        if (origin == null || origin.isEmpty()) {
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            response.getWriter().write("Origin header is required");
            return;
        }
        filterChain.doFilter(request, response);
    }
}

然后在Spring Security配置中把这个过滤器放在CORS过滤器之前：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Autowired
    private OriginRequiredFilter originRequiredFilter;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .addFilterBefore(originRequiredFilter, CorsFilter.class)
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            // 其他安全配置...
        return http.build();
    }

    // 你的CORS配置源
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        // 你的CORS规则配置逻辑
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

但一定要谨慎使用这种方式，确保你的业务场景确实需要拒绝所有无Origin的请求，否则会导致大量合法请求被拦截。

内容的提问来源于stack exchange，提问作者max