开发支持内外请求的Spring WebSocket时遇Origin 'null'不允许访问错误

我来帮你搞定这个跨域问题！你遇到的"Origin 'null' is therefore not allowed access"错误，本质是跨域请求被Spring的WebSocket安全策略拦截了。

为什么会出现这个错误？ #

当你通过Chrome直接打开本地HTML文件（用file://协议），或者用无Origin的命令行方式发起WebSocket连接时，请求的Origin会被标记为null。而Spring的WebSocket默认不允许这种null Origin的请求，所以直接把你拒之门外了。

怎么修复？ #

你需要在你的SocketConfig类里补充跨域配置，明确允许null Origin或者指定允许的来源。这里给你补全并修改后的完整配置代码：

@Configuration
@EnableWebSocketMessageBroker
public class SocketConfig implements WebSocketMessageBrokerConfigurer {

    @Override
    public void configureMessageBroker(MessageBrokerRegistry config) {
        config.enableSimpleBroker("/topic");
        // 补全你之前没写完的应用前缀，这是WebSocket消息路由的基础配置
        config.setApplicationDestinationPrefixes("/app");
    }

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        // 注册WebSocket端点，重点在这里配置跨域
        registry.addEndpoint("/ws") // 替换成你实际的WebSocket端点路径
                // 开发环境可以用*允许所有来源（包括null），方便测试
                .setAllowedOriginPatterns("*")
                // 如果需要兼容不支持WebSocket的浏览器，加上SockJS降级支持，不需要可以删掉
                .withSockJS();

        // 生产环境建议精准控制允许的Origin，比如：
        // registry.addEndpoint("/ws")
        //         .setAllowedOrigins("null", "http://your-external-domain.com", "http://localhost:8080")
        //         .withSockJS();
    }
}

几个关键提醒 #

1. 版本注意：如果你的Spring Boot版本是2.4及以上，优先用setAllowedOriginPatterns，setAllowedOrigins已经被标记为过时了，前者对通配符和null Origin的支持更友好。
2. 生产环境安全：开发时用*没问题，但上线一定要改成具体的业务域名，比如你的外部系统域名、内部办公域名，避免恶意跨域请求。
3. 测试方式优化：尽量通过本地服务器（比如Spring Boot启动的http://localhost:8080）访问测试页面，而不是直接打开file://的文件，这样Origin会是正常的域名，也能绕开这个问题。

内容的提问来源于stack exchange，提问作者Juan Ramos