Spring Boot Cors Filter返回Access-Control-Allow-Origin:null的CORS问题求助

嘿，我之前也踩过这个CORS的坑，尤其是当错误提示里出现源为null的时候，这种情况多半是你的请求发起环境比较特殊，或者CORS配置没覆盖到关键点。咱们一步步来解决：

先搞清楚为什么会出现源'null' #

当你直接从本地打开HTML文件（用file://协议）发起请求，或者请求的发起方没有明确的域名/端口（比如某些嵌入式Web视图），浏览器会把请求源标记为null。这时候如果你的Spring Boot后端没有允许这个特殊的源，就会触发你看到的错误。

检查并完善你的CORS配置 #

你提到已经按照官方文档配置了WebMvcConfigurerAdapter，但看起来代码没写完。首先确保你的配置覆盖了目标接口，并且允许必要的请求参数：

基础配置（适配多数场景） #

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        // 匹配你的接口路径，要和报错的/trial/events/**对应
        registry.addMapping("/trial/events/**")
                // 开发环境允许所有源，生产环境要换成具体域名
                .allowedOrigins("*")
                // 允许常用的HTTP方法
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                // 允许所有请求头
                .allowedHeaders("*")
                // 如果需要携带Cookie等凭证，开启这个
                .allowCredentials(true)
                // 预检请求的缓存时间，减少OPTIONS请求次数
                .maxAge(3600);
    }
}

针对源'null'的特殊处理 #

如果上面的配置还是不行，尤其是你确实是从file://环境发起请求的话，Spring Boot 2.4及以上版本可以用allowedOriginPatterns替代allowedOrigins，它支持更灵活的源匹配，包括处理null源：

registry.addMapping("/trial/events/**")
        .allowedOriginPatterns("*")
        .allowedMethods("*")
        .allowedHeaders("*")
        .allowCredentials(true);

用Filter手动处理（适配旧版本或复杂场景） #

如果你的Spring Boot版本比较老，或者自定义了Filter导致默认CORS配置不生效，可以写一个自定义CORS Filter：

@Component
public class CorsFilter implements Filter {
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;

        // 动态获取请求源，没有的话用*
        String origin = request.getHeader("Origin");
        response.setHeader("Access-Control-Allow-Origin", origin != null ? origin : "*");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Allow-Headers", "*");
        response.setHeader("Access-Control-Allow-Credentials", "true");

        // 处理OPTIONS预检请求，直接返回200
        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(req, res);
        }
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

额外注意事项 #

• 如果你用了Spring Security，一定要在Security配置里开启CORS，否则Security的拦截器会先于CORS配置生效：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors() // 启用CORS，会自动使用你配置的WebMvcConfig或CorsFilter
            .and()
            .csrf().disable(); // 开发环境临时关闭，生产环境按需配置
    }
}

• 生产环境绝对不要用*作为允许源，一定要替换成前端实际部署的域名，比如https://your-frontend-domain.com，避免安全风险。

内容的提问来源于stack exchange，提问作者1nullpointer