SpringBoot項(xiàng)目解決跨域的5種實(shí)現(xiàn)過程

更新時(shí)間：2026年05月13日 16:43:47 作者：油墨香^_^

本文介紹了SpringBoot項(xiàng)目中解決跨域問題的5種方式,包括使用@CrossOrigin注解、全局配置WebMvcConfigurer、使用CorsFilter過濾器、WebFlux配置和手動(dòng)配置過濾器,推薦使用全局配置WebMvcConfigurer,因?yàn)樗冉y(tǒng)一又靈活,適合大多數(shù)項(xiàng)目場(chǎng)景

1. 使用@CrossOrigin注解

在Controller類或方法上添加注解

// 在類級(jí)別使用 - 該類所有接口都支持跨域
@CrossOrigin(origins = "*", maxAge = 3600)
@RestController
@RequestMapping("/api")
public class UserController {
    // 在方法級(jí)別使用 - 僅此方法支持跨域
    @CrossOrigin(origins = "http://localhost:3000")
    @GetMapping("/users")
    public List<User> getUsers() {
        return userService.findAll();
    }
    @PostMapping("/users")
    public User createUser(@RequestBody User user) {
        return userService.save(user);
    }
}

@CrossOrigin參數(shù)說明

@CrossOrigin(
    origins = "*",                    // 允許的源
    allowedHeaders = "*",             // 允許的請(qǐng)求頭
    methods = {RequestMethod.GET, RequestMethod.POST}, // 允許的HTTP方法
    allowCredentials = "true",        // 是否允許證書
    maxAge = 3600                     // 預(yù)檢請(qǐng)求緩存時(shí)間
)

2. 全局配置 - 實(shí)現(xiàn)WebMvcConfigurer

方式一：配置類方式

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")  // 對(duì)所有接口路徑
                .allowedOriginPatterns("*")  // 支持域匹配，SpringBoot 2.4+
                // .allowedOrigins("*")      // SpringBoot 2.4之前版本使用
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowedHeaders("*")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

方式二：配置文件方式

# application.yml
spring:
  mvc:
    cors:
      allowed-origins: "*"
      allowed-methods: GET,POST,PUT,DELETE,OPTIONS
      allowed-headers: "*"
      allow-credentials: true
      max-age: 3600

3. 使用CorsFilter過濾器

@Configuration
public class GlobalCorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        // 1. 創(chuàng)建CORS配置對(duì)象
        CorsConfiguration config = new CorsConfiguration();
        // 2. 配置CORS規(guī)則
        config.addAllowedOriginPattern("*");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        config.setAllowCredentials(true);
        config.setMaxAge(3600L);
        // 3. 添加映射路徑
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

4. 使用WebFlux配置（響應(yīng)式編程）

如果使用WebFlux，可以這樣配置：

@Configuration
public class CorsWebFluxConfig {
    @Bean
    public CorsWebFilter corsWebFilter() {
        CorsConfiguration config = new CorsConfiguration();
        config.addAllowedOriginPattern("*");
        config.addAllowedMethod("*");
        config.addAllowedHeader("*");
        config.setAllowCredentials(true);
        config.setMaxAge(3600L);
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return new CorsWebFilter(source);
    }
}

5. 手動(dòng)配置過濾器

@Component
public class SimpleCorsFilter implements Filter {
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) 
            throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;
        // 設(shè)置CORS頭部
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Headers", "*");
        response.setHeader("Access-Control-Allow-Credentials", "true");
        // 處理預(yù)檢請(qǐng)求
        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(req, res);
        }
    }
    @Override
    public void init(FilterConfig filterConfig) {}
    @Override
    public void destroy() {}
}

生產(chǎn)環(huán)境推薦配置

@Configuration
public class ProductionCorsConfig implements WebMvcConfigurer {
    @Value("${cors.allowed-origins:*}")
    private String[] allowedOrigins;
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOriginPatterns(allowedOrigins)
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowedHeaders("Authorization", "Content-Type", "X-Requested-With")
                .exposedHeaders("X-Custom-Header")
                .allowCredentials(true)
                .maxAge(1800); // 30分鐘
        // 管理接口特殊配置
        registry.addMapping("/admin/**")
                .allowedOriginPatterns("https://admin.example.com")
                .allowedMethods("GET", "POST")
                .allowCredentials(true);
    }
}

配置說明文件

# application-prod.yml
cors:
  allowed-origins: 
    - "https://www.example.com"
    - "https://api.example.com"

總結(jié)對(duì)比

方式	適用場(chǎng)景	優(yōu)點(diǎn)	缺點(diǎn)
@CrossOrigin	單個(gè)接口或控制器	精確控制，簡(jiǎn)單易用	重復(fù)配置，不夠統(tǒng)一
WebMvcConfigurer	全局配置	統(tǒng)一管理，配置靈活	需要?jiǎng)?chuàng)建配置類
CorsFilter	過濾器級(jí)別	處理更底層，性能較好	配置相對(duì)復(fù)雜
WebFlux配置	響應(yīng)式應(yīng)用	專為WebFlux設(shè)計(jì)	僅適用于響應(yīng)式
手動(dòng)過濾器	完全自定義	最大靈活性	需要手動(dòng)處理所有細(xì)節(jié)