Java API集成Swagger时‘Try It Out’跨域头缺失问题求助

我之前也碰到过完全一样的情况！手动给每个端点硬加CORS响应头不仅繁琐，还特别容易漏掉——尤其是Swagger的「Try It Out」会发送OPTIONS预检请求，如果你的代码只在GET/POST这类业务请求里加了头，没处理OPTIONS请求，就会出现那个"No 'Access-Control-Allow-Origin' header"错误，而且还会导致部分端点生效、部分不生效的问题。

下面给你几个靠谱的解决方案，从全局层面解决这个问题，不用再逐个端点折腾：

方案1：Spring Boot全局CORS配置（最常用） #

如果你用的是Spring Boot，直接写一个全局配置类，覆盖所有端点，包括自动处理OPTIONS预检请求：

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class GlobalCorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**") // 匹配所有API端点
                .allowedOrigins("*") // 允许所有来源（生产环境建议替换为具体域名，比如https://your-swagger-domain.com）
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS", "HEAD")
                .allowedHeaders("*") // 允许所有请求头
                .maxAge(3600); // 预检请求的缓存时间，减少重复OPTIONS请求
    }
}

或者更简单，直接在application.properties里加配置：

# 全局CORS配置
spring.web.cors.allowed-origins=*
spring.web.cors.allowed-methods=GET,POST,PUT,DELETE,OPTIONS,HEAD
spring.web.cors.allowed-headers=*
spring.web.cors.max-age=3600

方案2：JAX-RS（如Jersey）全局CORS过滤器 #

如果你的API是基于JAX-RS实现的，比如用Jersey，就写一个全局响应过滤器，给所有响应加上CORS头，同时处理OPTIONS请求：

import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.ext.Provider;

@Provider
public class CorsResponseFilter implements ContainerResponseFilter {
    @Override
    public void filter(ContainerRequestContext requestCtx, ContainerResponseContext responseCtx) {
        // 添加CORS响应头
        responseCtx.getHeaders().add("Access-Control-Allow-Origin", "*");
        responseCtx.getHeaders().add("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS, HEAD");
        responseCtx.getHeaders().add("Access-Control-Allow-Headers", "Content-Type, Authorization");
        
        // 处理OPTIONS预检请求，直接返回200状态码
        if ("OPTIONS".equalsIgnoreCase(requestCtx.getMethod())) {
            responseCtx.setStatus(200);
        }
    }
}

为什么之前手动加只对部分端点生效？ #

核心原因有两个：

• 你可能漏掉了某些端点的响应头配置，导致这些端点没加CORS头；
• Swagger的测试请求会先发送OPTIONS预检请求，而你的手动配置只处理了业务请求（GET/POST等），没处理OPTIONS请求，预检失败就会报错。

全局配置能自动覆盖所有请求类型和所有端点，彻底解决这个问题。

内容的提问来源于stack exchange，提问作者plusvictoria