1. 跨域问题背景与解决方案选型当我们在Spring应用中遇到前端请求被浏览器拦截时十有八九是碰到了跨域问题。这个问题源于浏览器的同源策略Same-Origin Policy——这个安全机制会阻止来自不同源协议、域名、端口任一不同的AJAX请求。作为后端开发者我经常需要处理这类场景比如当前端项目部署在http://localhost:3000而API服务运行在http://localhost:8080时。解决跨域主要有三种主流方案在Controller方法或类上添加CrossOrigin注解适合小规模API配置WebMvcConfigurerSpring MVC推荐方式使用Filter进行全局处理最灵活可控的方案经过多个项目的实践验证当需要精细控制跨域规则或处理老旧系统改造时Filter方案往往是最可靠的选择。它能在请求进入业务逻辑前统一处理CORS头部避免在每个接口重复配置。2. CORS Filter核心实现解析2.1 基础Filter实现下面是一个经过生产验证的CORS Filter基础实现模板public class CorsFilter implements Filter { Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletResponse response (HttpServletResponse) res; HttpServletRequest request (HttpServletRequest) req; // 核心响应头设置 response.setHeader(Access-Control-Allow-Origin, *); response.setHeader(Access-Control-Allow-Methods, POST, GET, OPTIONS, DELETE); response.setHeader(Access-Control-Max-Age, 3600); response.setHeader(Access-Control-Allow-Headers, x-requested-with, Content-Type, Authorization); // 对OPTIONS请求直接返回200 if (OPTIONS.equalsIgnoreCase(request.getMethod())) { response.setStatus(HttpServletResponse.SC_OK); } else { chain.doFilter(req, res); } } // 其他必要方法实现... }关键点说明Access-Control-Max-Age定义了预检请求(Preflight)的缓存时间合理设置这个值能减少不必要的OPTIONS请求。2.2 生产级增强实现在实际项目中我们还需要考虑更多细节// 在基础实现上增加以下逻辑 response.setHeader(Access-Control-Allow-Credentials, true); response.setHeader(Access-Control-Expose-Headers, X-Custom-Header); // 支持动态配置允许的源 String allowedOrigins http://trusted.com,http://localhost:3000; String origin request.getHeader(Origin); if (allowedOrigins.contains(origin)) { response.setHeader(Access-Control-Allow-Origin, origin); }这里特别要注意Access-Control-Allow-Credentials与Access-Control-Allow-Origin: *的互斥性——当需要传递Cookie时必须指定具体域名而非通配符。3. Spring集成与高级配置3.1 Filter注册方式在Spring Boot中有两种主要注册方式通过Bean显式注册推荐Bean public FilterRegistrationBeanCorsFilter corsFilter() { FilterRegistrationBeanCorsFilter bean new FilterRegistrationBean(new CorsFilter()); bean.setOrder(Ordered.HIGHEST_PRECEDENCE); // 确保最先执行 return bean; }使用Component自动扫描灵活性较差3.2 与Spring Security的协同当项目集成Spring Security时需要注意执行顺序问题。安全框架的过滤器链默认会先于自定义Filter执行这可能导致CORS头部被覆盖。解决方案是在安全配置中显式添加CORS过滤器EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Override protected void configure(HttpSecurity http) throws Exception { http.addFilterBefore(new CorsFilter(), UsernamePasswordAuthenticationFilter.class); // 其他安全配置... } }4. 常见问题排查指南4.1 典型问题速查表现象可能原因解决方案预检请求返回403安全框架拦截OPTIONS请求在安全配置中放行OPTIONS方法前端收不到自定义头未暴露响应头添加Access-Control-Expose-Headers带Cookie请求失败凭证模式与通配符冲突指定具体域名并开启Allow-Credentials部分接口跨域失败Filter执行顺序问题调整Filter优先级为最高4.2 调试技巧使用Chrome开发者工具的Network面板检查请求是否包含Origin头查看响应是否包含正确的CORS头确认预检请求和实际请求的流程服务端日志增强logger.debug(CORS Filter processing request from origin: {}, request.getHeader(Origin));测试不同场景的CURL命令# 测试简单请求 curl -H Origin: http://test.com -I http://api.example.com/resource # 测试预检请求 curl -X OPTIONS -H Origin: http://test.com \ -H Access-Control-Request-Method: POST \ -I http://api.example.com/resource5. 性能优化与安全实践5.1 缓存优化策略对于高并发场景可以通过以下方式减轻CORS处理开销合理设置Access-Control-Max-Age建议1小时对静态资源使用Nginx层统一添加CORS头实现基于Redis的允许源缓存避免频繁校验5.2 安全加固措施生产环境避免使用*作为允许源改为动态白名单校验ListString allowedDomains Arrays.asList( https://production.com, https://staging.com ); if (allowedDomains.contains(request.getHeader(Origin))) { response.setHeader(Access-Control-Allow-Origin, origin); }限制允许的HTTP方法String allowedMethods GET, POST, PUT; response.setHeader(Access-Control-Allow-Methods, allowedMethods);对敏感操作禁用跨域if (/admin/delete.equals(request.getRequestURI())) { response.setHeader(Access-Control-Allow-Origin, null); }在最近的一个电商平台项目中我们通过动态CORS配置支持了多租户的前端应用接入。每个租户有独立的域名系统会根据数据库配置动态校验Origin头。这种方案既保证了灵活性又不会降低安全性。具体实现中我们重写了Filter的init方法从数据库加载白名单并通过Spring的定时任务每30分钟刷新一次缓存。