如何在Apache TomEE中同时配置CorsFilter与安全约束？

我之前在TomEE 7环境里处理过几乎一模一样的问题，根源在于跨域预检请求（OPTIONS）被你的安全约束拦截了。浏览器在发送带基础认证的跨域请求前，会先发送一个OPTIONS请求来确认服务器是否允许跨域操作，而这个请求是不会携带Authorization头的，所以你的Security Constraint会把它判定为未授权，返回401，浏览器直接就拦截了后续的实际请求。下面是一步步的解决办法：

1. 调整安全约束，放行OPTIONS请求 #

修改web.xml里的security-constraint配置，明确只对需要认证的HTTP方法（比如GET/POST/PUT/DELETE）做限制，单独给OPTIONS请求放行：

<!-- 对需要认证的资源和方法设置约束 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Secured API</web-resource-name>
        <url-pattern>/your-secured-api-path/*</url-pattern>
        <!-- 只列出需要认证的方法，排除OPTIONS -->
        <http-method>GET</http-method>
        <http-method>POST</http-method>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>your-authorized-role</role-name>
    </auth-constraint>
</security-constraint>

<!-- 单独放行OPTIONS请求，不需要认证 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>OPTIONS Allow</web-resource-name>
        <url-pattern>/your-secured-api-path/*</url-pattern>
        <http-method>OPTIONS</http-method>
    </web-resource-collection>
    <!-- 这里不需要auth-constraint，允许匿名访问 -->
</security-constraint>

2. 配置CorsFilter支持带凭证的跨域请求 #

确保你的CorsFilter配置包含认证相关的响应头，并且开启凭证支持——这是带基础认证的跨域请求必须的：

<filter>
    <filter-name>CorsFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
    <init-param>
        <param-name>cors.allowed.origins</param-name>
        <param-value>https://your-js-ui-domain.com</param-value> <!-- 替换为你的UI实际域名 -->
    </init-param>
    <init-param>
        <param-name>cors.allowed.methods</param-name>
        <param-value>GET,POST,PUT,DELETE,OPTIONS</param-value>
    </init-param>
    <init-param>
        <param-name>cors.allowed.headers</param-name>
        <param-value>Content-Type,Authorization</param-value> <!-- 必须包含Authorization -->
    </init-param>
    <init-param>
        <param-name>cors.support.credentials</param-name>
        <param-value>true</param-value> <!-- 允许带凭证（Cookie/Authorization头） -->
    </init-param>
    <init-param>
        <param-name>cors.exposed.headers</param-name>
        <param-value>Authorization</param-value> <!-- 允许UI读取Authorization头（如果需要） -->
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CorsFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

3. 验证JAX-RS资源的OPTIONS处理（可选） #

如果上面的配置还没解决问题，可以在你的JAX-RS资源类里显式添加OPTIONS请求的处理方法，确保返回正确的CORS头：

@OPTIONS
@Path("{path:.*}") // 匹配当前资源下的所有子路径
public Response handleOptionsRequest() {
    return Response.ok()
            .header("Access-Control-Allow-Origin", "https://your-js-ui-domain.com")
            .header("Access-Control-Allow-Methods", "GET,POST,PUT,DELETE,OPTIONS")
            .header("Access-Control-Allow-Headers", "Content-Type,Authorization")
            .header("Access-Control-Allow-Credentials", "true")
            .build();
}

做完这些配置后，重启TomEE，浏览器的OPTIONS预检请求就能正常返回200，后续带Authorization头的实际请求也能顺利通过认证和跨域检查了。

内容的提问来源于stack exchange，提问作者Navid Mojir