Spring框架中的跨域CORS配置的完整教學
更新時間：2025年10月31日 09:08:49 作者：匆匆忙忙游刃有余
CORS(Cross-Origin?Resource?Sharing,跨域資源共享)是一種機制,允許在瀏覽器中向不同源(域名、協(xié)議或端口不同)的服務器發(fā)起請求,下面我們就來看看如何在Spring框架配置跨域CORS吧
什么是跨域CORS
CORS(Cross-Origin Resource Sharing，跨域資源共享)是一種機制，允許在瀏覽器中向不同源(域名、協(xié)議或端口不同)的服務器發(fā)起請求。在Web開發(fā)中，出于安全考慮，瀏覽器會實施同源策略(Same-Origin Policy)，限制從一個源加載的文檔或腳本與另一個源的資源進行交互。CORS機制提供了一種安全的方式來實現(xiàn)跨域訪問。
Spring中的CORS配置方法
1. 全局CORS配置
使用WebMvcConfigurer配置
@Configuration
public class CorsConfig implements WebMvcConfigurer {
@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/**") // 允許所有路徑
.allowedOrigins("*") // 允許所有來源，生產(chǎn)環(huán)境應限制具體域名
.allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS") // 允許的HTTP方法
.allowedHeaders("*") // 允許所有請求頭
.exposedHeaders("Authorization") // 暴露的響應頭
.allowCredentials(true) // 允許攜帶憑證(cookie)
.maxAge(3600); // 預檢請求結(jié)果緩存時間（秒）
}
}
Spring Boot 2.7+ 方式
從Spring Boot 2.7開始，推薦使用CorsFilter而不是WebMvcConfigurer：
@Configuration
public class CorsConfig {
@Bean
public CorsFilter corsFilter() {
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
CorsConfiguration config = new CorsConfiguration();
// 設置允許的源
config.addAllowedOrigin("*");
// 設置允許的HTTP方法
config.addAllowedMethod("*");
// 設置允許的請求頭
config.addAllowedHeader("*");
// 設置允許攜帶憑證
config.setAllowCredentials(true);
// 設置暴露的響應頭
config.addExposedHeader("Authorization");
// 設置預檢請求結(jié)果緩存時間
config.setMaxAge(3600L);
source.registerCorsConfiguration("/**", config);
return new CorsFilter(source);
}
}
2. 控制器級別CORS配置
使用@CrossOrigin注解可以在控制器類或方法級別配置CORS：
// 控制器類級別配置
@RestController
@RequestMapping("/api")
@CrossOrigin(origins = "*", maxAge = 3600)
public class ApiController {
@GetMapping("/data")
public ResponseEntity<String> getData() {
return ResponseEntity.ok("Data response");
}
}
// 方法級別配置
@RestController
@RequestMapping("/api")
public class ApiController {
@GetMapping("/data")
@CrossOrigin(origins = "http://localhost:3000",
allowedHeaders = "*",
methods = {RequestMethod.GET, RequestMethod.POST})
public ResponseEntity<String> getData() {
return ResponseEntity.ok("Data response");
}
}
3. 基于過濾器的CORS配置
@Component
public class CorsFilter extends OncePerRequestFilter {
@Override
protected void doFilterInternal(HttpServletRequest request,
HttpServletResponse response,
FilterChain filterChain) throws ServletException, IOException {
// 設置CORS響應頭
response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
response.setHeader("Access-Control-Max-Age", "3600");
response.setHeader("Access-Control-Allow-Headers", "*");
response.setHeader("Access-Control-Expose-Headers", "Authorization");
response.setHeader("Access-Control-Allow-Credentials", "true");
// 處理預檢請求
if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
response.setStatus(HttpServletResponse.SC_OK);
return;
}
filterChain.doFilter(request, response);
}
}
Spring Security環(huán)境下的CORS配置
當使用Spring Security時，CORS配置需要與Security配置集成：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
// 添加CORS配置
.cors().and()
// 禁用CSRF（如果需要）
.csrf().disable()
// 其他安全配置...
.authorizeRequests()
.antMatchers("/public/**").permitAll()
.anyRequest().authenticated();
}
// 注入CORS配置Bean
@Bean
public CorsConfigurationSource corsConfigurationSource() {
CorsConfiguration configuration = new CorsConfiguration();
configuration.setAllowedOrigins(Arrays.asList("*"));
configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
configuration.setAllowedHeaders(Arrays.asList("*"));
configuration.setExposedHeaders(Arrays.asList("Authorization"));
configuration.setAllowCredentials(true);
configuration.setMaxAge(3600L);
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
}
生產(chǎn)環(huán)境CORS最佳實踐
限制允許的源：不要在生產(chǎn)環(huán)境使用"*"通配符，而應該指定具體的前端域名：
config.setAllowedOrigins(Arrays.asList("https://www.example.com", "https://app.example.com"));
謹慎使用credentials：如果設置了allowCredentials = true，allowedOrigins不能使用"*"通配符。
限制允許的HTTP方法：只允許應用程序需要的HTTP方法，而不是全部：
config.setAllowedMethods(Arrays.asList("GET", "POST"));
限制允許的請求頭：只允許必要的請求頭，提高安全性。
設置適當?shù)膍axAge：避免頻繁的預檢請求，減少服務器負擔。
常見問題及解決方案
CORS策略阻止了請求
- 檢查服務器是否正確設置了
Access-Control-Allow-Origin頭 - 確保請求的方法和頭在允許列表中
預檢請求失敗
- 確保服務器正確處理了
OPTIONS請求 - 檢查是否配置了
maxAge參數(shù)
憑證模式的問題
- 當使用
withCredentials: true時，服務端必須指定明確的Access-Control-Allow-Origin值 - 不能使用通配符
*
通過以上配置方法，可以根據(jù)項目需求靈活地實現(xiàn)Spring應用中的CORS支持，確保前端應用能夠安全地進行跨域資源訪問。
到此這篇關(guān)于Spring框架中的跨域CORS配置的完整教學的文章就介紹到這了,更多相關(guān)Spring 跨域CORS配置內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
這篇文章主要介紹了Jetbrains系列產(chǎn)品重置試用思路詳解,本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下2021-01-01
本文介紹了如何設置了Keycloak 服務器及在SpringBoot中使用 Spring Security OAuth2.0結(jié)合Keycloak實現(xiàn)認證和授權(quán),文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧2026-01-01
在Spring Boot中使用Spring-data-jpa實現(xiàn)分頁查詢
如何使用jpa進行多條件查詢以及查詢列表分頁呢？下面我將介紹兩種多條件查詢方式。具體實例代碼大家參考下本文吧2017-07-07
使用Java實現(xiàn)通用樹形結(jié)構(gòu)構(gòu)建工具類
這篇文章主要為大家詳細介紹了如何使用Java實現(xiàn)通用樹形結(jié)構(gòu)構(gòu)建工具類,文中的示例代碼講解詳細,感興趣的小伙伴可以跟隨小編一起學習一下2025-03-03
Java實現(xiàn)一鍵獲取Mysql所有表字段設計和建表語句的工具類
這篇文章主要為大家詳細介紹了如何利用Java編寫一個工具類，可以實現(xiàn)一鍵獲取Mysql所有表字段設計和建表語句，感興趣的小伙伴可以了解一下2023-05-05
文章介紹了在SpringBoot中集成FunASR語音識別模型的實踐,重點解決Java客戶端兼容性問題、Docker部署參數(shù)配置及序列化異常,最終實現(xiàn)模型成功運行并處理識別結(jié)果,感興趣的朋友跟隨小編一起看看吧2025-08-08
Eclipse+Java+Swing+Mysql實現(xiàn)電影購票系統(tǒng)(詳細代碼)
這篇文章主要介紹了Eclipse+Java+Swing+Mysql實現(xiàn)電影購票系統(tǒng)并附詳細的代碼詳解，需要的小伙伴可以參考一下2022-01-01
SpringBoot配置文件properties和yml的實現(xiàn)
本文主要介紹了SpringBoot配置文件properties和yml的實現(xiàn)，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2022-04-04
這篇文章主要介紹了JBoss5.x下配置Log4j方法介紹，小編覺得挺不錯的，這里分享給大家，供需要的朋友參考。2017-10-10
Java中使用數(shù)組實現(xiàn)棧數(shù)據(jù)結(jié)構(gòu)實例
這篇文章主要介紹了Java中使用數(shù)組實現(xiàn)棧數(shù)據(jù)結(jié)構(gòu)實例,本文先是講解了實現(xiàn)棧至少應該包括以下幾個方法等知識,然后給出代碼實例,需要的朋友可以參考下2015-01-01