Chrome禁止localhost源访问问题：Tomcat已配置CorsFilter仍无效

嘿，我之前也踩过Tomcat CorsFilter配置后依然跨域的坑，给你几个实际有效的排查和解决方向：

1. 务必配置filter-mapping确保过滤器生效 #

很多人只写了<filter>部分，却漏掉了关键的<filter-mapping>，导致CorsFilter根本没被应用到请求上。把这段配置加到你的web.xml里，放在<filter>配置之后：

<filter-mapping>
    <filter-name>CorsFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

/*表示拦截所有路径的请求，确保你的前端请求都会经过这个过滤器。

2. 检查并补充cors.allowed.headers参数 #

如果你的请求包含自定义请求头（比如Authorization、X-Requested-With），默认的CorsFilter配置不会允许这些头，导致Chrome拦截。添加这个初始化参数：

<init-param>
    <param-name>cors.allowed.headers</param-name>
    <param-value>Content-Type,Authorization,X-Requested-With,Accept,Origin</param-value>
</init-param>

可以根据你实际的请求头调整参数值，把需要的头都加进去。

3. 处理带Credentials的请求（如果需要） #

如果你的前端请求需要携带Cookie、HTTP认证信息，注意两个关键点：

• cors.allowed.origins不能用*，必须指定具体的localhost源，比如http://localhost:5173（假设前端运行在5173端口）
• 开启cors.support.credentials参数：

<init-param>
    <param-name>cors.support.credentials</param-name>
    <param-value>true</param-value>
</init-param>

Chrome严格禁止通配符源和Credentials同时使用，这是很多人忽略的细节。

4. 确认OPTIONS预检请求被正确处理 #

Chrome在发送复杂跨域请求（比如POST带JSON、自定义头）前，会先发送OPTIONS预检请求。你可以添加以下参数优化预检处理：

<init-param>
    <param-name>cors.preflight.maxage</param-name>
    <param-value>3600</param-value>
</init-param>

这个参数设置预检结果的缓存时间（秒），避免重复发送OPTIONS请求。

5. 重启Tomcat并检查错误日志 #

配置修改后一定要重启Tomcat，否则新配置不会生效。同时打开Chrome开发者工具（F12），查看Console里的具体跨域错误信息，以及Network面板中OPTIONS请求的响应头，确认Access-Control-Allow-Origin等头是否正确返回。

如果还是有问题，可以把Chrome控制台的错误信息贴出来，能更精准地定位问题！

内容的提问来源于stack exchange，提问作者Miro Hascic