Spring Boot跨域配置后仍报Access-Control-Allow-Origin 403错误求助

我之前也碰到过类似的情况，虽然你在控制器上加了@CrossOrigin注解，但还是遇到了CORS相关的403错误，而且是引入DockerService后才出现的，大概率是以下几个原因导致的，给你一步步排查解决的方案：

1. 检查是否启用了Spring Security #

如果你的项目里引入了Spring Security依赖，它会默认开启CSRF防护，POST这类非GET请求会被拦截，这时候控制器上的@CrossOrigin注解会被Spring Security的配置覆盖，导致CORS头无法正常返回。

解决方法是在Security配置类里专门配置CORS和CSRF豁免：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 先启用CORS配置
            .cors().and()
            // 针对你的Docker接口豁免CSRF校验
            .csrf().ignoringAntMatchers("/api/docker/container/**/pause").and()
            // 允许该接口匿名访问（如果不需要权限校验的话）
            .authorizeRequests()
                .antMatchers("/api/docker/container/**/pause").permitAll()
                .anyRequest().authenticated();
    }

    // 配置全局CORS规则，替代控制器上的@CrossOrigin，避免冲突
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        // 允许你的Angular前端域名
        config.setAllowedOrigins(Collections.singletonList("http://localhost:4200"));
        // 允许的请求方法
        config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        // 允许所有请求头
        config.setAllowedHeaders(Collections.singletonList("*"));
        // 如果需要携带Cookie等凭证，开启这个
        config.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        // 对所有接口应用该CORS规则
        source.registerCorsConfiguration("/**", config);
        return source;
    }
}

2. 检查DockerService的异常处理 #

你提到是引入DockerService后才出现问题，有可能是pauseContainer方法抛出了未捕获的异常，导致Spring Boot返回了默认的错误页面（而非你控制器返回的true），这个错误页面没有携带CORS头，浏览器就会报403错误。

解决方法：

• 在DockerService的pauseContainer方法里添加异常捕获：

public void pauseContainer(String containerName) {
    try {
        // 你的Docker操作逻辑
    } catch (DockerException | InterruptedException e) {
        // 捕获异常并抛出自定义业务异常
        throw new RuntimeException("暂停容器失败: " + e.getMessage(), e);
    }
}

• 然后写一个全局异常处理器，确保异常响应也携带CORS头：

@ControllerAdvice
@CrossOrigin(origins = "http://localhost:4200")
public class GlobalExceptionHandler {

    @ExceptionHandler(RuntimeException.class)
    @ResponseBody
    public ResponseEntity<String> handleRuntimeException(RuntimeException e) {
        return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body(e.getMessage());
    }
}

3. 验证预检请求（OPTIONS）是否正常 #

浏览器发送POST这类非简单请求前，会先发送OPTIONS预检请求，如果这个请求被拦截或者没有返回正确的CORS头，就会出现你遇到的错误。

你可以用Postman直接发送OPTIONS请求到http://localhost:8080/api/docker/container/Env666/pause，检查响应头里是否有Access-Control-Allow-Origin: http://localhost:4200，如果没有，说明CORS配置没生效，回到第一步检查Spring Security的配置。

最后总结 #

优先排查Spring Security的配置，这是最常见的导致@CrossOrigin失效的原因；其次检查DockerService的异常处理，确保任何情况下响应都携带CORS头；最后验证预检请求是否正常。

内容的提问来源于stack exchange，提问作者user9710923