动态更新Cors Registry：Heroku OAuth令牌应用与Spring Boot配置问题

先梳理下你的现有配置里的潜在问题，结合Heroku部署场景给你针对性的修复建议：

1. 废弃类的兼容性问题 #

WebMvcConfigurerAdapter在Spring Boot 2.0+已经被标记为废弃，现在推荐直接实现WebMvcConfigurer接口，这不仅符合当前Spring的规范，也能避免后续版本的兼容性风险。

2. 请求头配置的错误 #

你写的allowedHeaders("Allow-access-control-origin")存在认知偏差：

• allowedHeaders是用来指定客户端发送请求时允许携带的请求头，而非设置响应头。
• 针对OAuth令牌接口，通常需要允许Content-Type、Authorization这类常用请求头，生产环境如果能明确允许的头，建议指定具体值；若需要宽松配置，也可以用allowedHeaders("*")（注意生产环境谨慎使用通配符）。

3. 缺失请求方法配置 #

默认CORS配置仅允许GET请求，但获取OAuth令牌一般用POST方法，必须显式配置allowedMethods支持对应请求方法，否则客户端会出现预检请求失败的问题。

4. 数组转换的简化处理 #

你处理originList转数组的代码可以简化，无需先初始化数组再赋值，直接用originList.toArray(new String[0])即可完成转换。

修正后的完整配置代码 #

@Configuration
public class CorsConfig implements WebMvcConfigurer {

    private final List<String> originList;

    // 假设originList通过构造注入从数据库加载
    public CorsConfig(List<String> originList) {
        this.originList = originList;
    }

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/getToken")
                // 加载数据库中的允许源站列表
                .allowedOrigins(originList.toArray(new String[0]))
                // 根据OAuth接口实际需求配置允许的请求方法
                .allowedMethods("GET", "POST")
                // 允许的请求头，按需调整
                .allowedHeaders("Content-Type", "Authorization")
                // 若OAuth流程需要携带凭证（如Cookie），开启此配置
                .allowCredentials(true)
                // 设置预检请求缓存时间，减少OPTIONS请求频次
                .maxAge(3600);
    }
}

Heroku部署额外注意事项 #

• 确保originList中包含前端应用的实际域名（包括Heroku上的前端域名，如果前端也部署在Heroku），动态源站场景要保证数据库中的数据准确。
• Heroku使用反向代理，若遇到源站匹配异常，可配置ForwardedHeaderFilter来获取客户端真实请求源，避免CORS校验失败。
• 可以通过Heroku日志命令heroku logs --tail查看具体CORS错误信息，快速定位是源站不允许、请求头不匹配还是请求方法未授权的问题。

内容的提问来源于stack exchange，提问作者lambad