摘要：在当今互联网软件开发领域，前后端分离架构盛行，Spring Boot 作为主流的后端开发框架，在处理跨域问题上扮演着关键角色。对于广大互联网软件开发人员而言，掌握 Spring Boot3 中安全解决跨域问题的方法，是保障项目稳定、高效运行的必备技能。
在当今互联网软件开发领域，前后端分离架构盛行，Spring Boot 作为主流的后端开发框架，在处理跨域问题上扮演着关键角色。对于广大互联网软件开发人员而言，掌握 Spring Boot3 中安全解决跨域问题的方法，是保障项目稳定、高效运行的必备技能。
浏览器的同源策略可谓是跨域问题的 “始作俑者”。简单来说，同源要求两个页面的协议、主机和端口号完全相同。一旦网页尝试从一个源（域、协议、端口）与当前页面不同的资源进行请求时，跨域问题便会触发。例如，http://example.com:8080 与 https://example.com:8080，虽然主机和端口相同，但协议不同，这就会导致跨域；再如 http://a.example.com 和 http://b.example.com，即便同属一个大域名下的不同子域，也会因为域名部分不一致而出现跨域情况 。
这一策略的初衷是为了保障用户的信息安全，防止恶意代码窃取用户数据或执行恶意操作。设想一下，如果没有同源策略的限制，恶意网站便可以随意访问其他网站的敏感信息，用户在登录银行网站后，其账号密码等信息就可能被轻易窃取，后果不堪设想。然而，在实际的开发场景中，尤其是前后端分离项目以及调用第三方 API 时，跨域请求又是不可避免的，这就促使我们必须寻找有效的解决方案。
JSONP（JSON with Padding）利用了 script 标签的 src 属性不受同源策略限制的特性来进行跨域数据传输。它通过动态创建 script 标签，并将 src 属性指定为跨域请求的 URL，服务器返回的数据会被包裹在回调函数中，前端通过执行回调函数来获取数据。
例如，前端代码可以这样写：
ajax请求调用接口：/hellofunction myFunction {$.ajax({url: "http://localhost:9090/hello",type: "GET",dataType: "jsonp",success: function (data) {console.log(data)}})}后端对应的 Spring Boot 接口则需返回 JSONPObject 对象：
package com.hyl.controller; import com.fasterxml.jackson.databind.util.JSONPObject;import com.hyl.common.Result; import org.springframework.web.bind.annotation.GetMapping;import org.springframework.web.bind.annotation.RestController; //表示对外提供可访问接口的类@RestControllerpublic class WebController { //测试接口 @GetMapping("/hello") public JSONPObject hello(String callback){ return new JSONPObject(callback,Result.success("hello")); } }package com.hyl.common; /** * 统一后端返回的数据结果类型 */public class Result { //请求状态码 private String code; //成功或错误信息 private String msg; //返回数据结果 private Object data; //常用静态方法 //请求成功且无数据返回 public static Result success {Result result = new Result;result.setCode("200");result.setmsg("请求成功");return result;} //请求成功且有数据返回。 public static Result success(Object data) { //直接调用静态方法设置状态码、请求成功信息 Result result = Result.success; result.setData(data); return result; } //请求失败且无数据返回 public static Result error {Result result = new Result;result.setCode("500");result.setMsg("系统出错了！");return result;} //请求失败且无数据返回。适配自定义异常（传递code、msg） public static Result error(String code, String msg) {Result result = new Result;result.setCode(code);result.setMsg(msg);return result;} //getter、setter方法 public String getCode { return code; } public void setCode(String code) { this.code = code; } public String getMsg { return msg; } public void setMsg(String msg) { this.msg = msg; } public Object getData { return data; } public void setData(Object data) { this.data = data; }}不过，JSONP 也存在诸多局限性。许多浏览器对其兼容性不佳，并且后端必须返回 JSONPObject 对象，在大量使用时会导致较高的耦合度。因此，如今 JSONP 已逐渐不再常用，在实际项目中，我们仅需对其有大概了解并能进行简单使用即可，无需深入学习。
CORS（Cross-Origin Resource Sharing）是一种基于 HTTP 头的机制，专门用于克服浏览器的同源策略限制，允许 Web 应用程序从不同源（域名、协议、端口）请求和访问资源。其基本工作原理如下：
当浏览器发送跨域请求时，首先会发送一个预检请求（OPTIONS 请求），目的是询问服务器是否允许该跨域请求。服务器收到预检请求后，会仔细检查请求头中的相关信息，特别是 Origin 字段（它明确表示了请求的源），然后依据自身的 CORS 配置，返回相应的响应头。若服务器允许该跨域请求，便会在响应头中添加诸如 Access-Control-Allow-Origin 等字段，告知浏览器允许哪些源的请求。例如，若 Access-Control-Allow-Origin 的值为 http://example.com，则表示仅允许来自 http://example.com 的请求跨域访问；若值为 *，则表示允许所有来源的请求跨域访问，但在生产环境中，为了安全性考虑，通常不会直接使用 *，而是指定具体的域名。
在 Spring Boot3 项目里，最为便捷的一种解决跨域问题的方式就是使用 @CrossOrigin 注解。你既可以将其添加在 Controller 类上，也可以添加在具体的请求处理方法上。
当在 Controller 类上使用时，该控制器下的所有方法都将遵循此跨域配置。例如：
@RestController @RequestMapping("/user") @CrossOrigin(origins = "*") // 允许所有来源的请求跨域 public class UserController { // 控制器内的方法都会允许跨域请求}而如果将注解添加到特定方法上，那么只有该方法会应用此 CORS 配置，例如：
@RestController @requestMapping("/user") public class UserController { @GetMapping("/info") @CrossOrigin(origins = "http://allowed-origin.com") // 仅允许来自http://allowed-origin.com的请求跨域访问此方法public String getUserInfo {return "User information";} }这种方式简单直接，特别适用于单个端点的调试场景。不过，若项目中存在大量的 Controller 和方法，每个都单独配置 @CrossOrigin 注解，会显得繁琐且不利于统一管理。
若希望对整个项目进行统一的 CORS 配置，而非在每个 Controller 或方法上逐一设置，创建一个配置类来实现 WebMvcConfigurer 接口是个不错的选择。通过重写 addCorsMappings 方法，我们可以灵活地定义 CORS 策略。
具体代码如下：
import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.config.annotation.CorsRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; @Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { // 添加映射路径，这里表示对所有路径都应用CORS配置registry.addMapping("/**") .allowedOrigins("*") // 允许所有来源的访问，在生产环境中通常应指定具体域名.allowedMethods("POST", "GET", "PUT", "OPTIONS", "DELETE") // 允许的HTTP方法.allowedHeaders("*") // 允许的HTTP头部.allowCredentials(true) // 是否允许携带凭证（如cookies等）.maxAge; // 预检请求的有效期，单位为秒}}在上述配置中，addMapping("/**") 表明对项目中的所有请求路径都应用此 CORS 配置。allowedOrigins("*") 虽然方便，但从安全角度考虑，在生产环境下，建议将其替换为实际允许的域名，例如 allowedOrigins("http://your-frontend-domain.com")。allowedMethods 明确了允许的 HTTP 请求方法，allowedHeaders 定义了允许的请求头，allowCredentials 决定是否允许前端请求携带凭证，而 maxAge 则设置了预检请求的缓存时间，这意味着在有效期内，浏览器无需再次发送预检请求，从而提高了请求效率。
这种全局配置的方式适用于常规的 Web 应用项目，能够简洁高效地管理整个项目的跨域规则，同时在安全性和灵活性上也能达到较好的平衡。
通过实现 Filter 接口，我们可以自定义 CORS 处理逻辑，从而实现更细粒度的跨域控制。这在一些需要动态控制跨域策略的复杂场景中尤为有用。
以下是一个简单的自定义 CorsFilter 示例：
import javax.Servlet.*; import javax.servlet.http.HttpServletResponse; import java.io.IOException; public class SimpleCorsFilter implements Filter { public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {HttpServletResponse response = (HttpServletResponse) res; // 设置允许跨域的源，这里设置为http://example.com，实际应用中按需修改response.setHeader("Access-Control-Allow-Origin", "http://example.com"); response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE"); response.setHeader("Access-Control-Max-Age", "3600"); response.setHeader("Access-Control-Allow-Headers", "x-requested-with"); chain.doFilter(req, res); } public void init(FilterConfig filterConfig) throws ServletException {} public void destroy {} }在定义好过滤器后，还需要在配置类中进行注册，使过滤器生效：
import org.springframework.boot.web.servlet.FilterRegistrationBean; import org.Springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; @Configuration public class FilterConfig { @Bean public FilterRegistrationBean corsFilter { FilterRegistrationBean registrationBean = new FilterRegistrationBean; registrationBean.setFilter(new SimpleCorsFilter); // 设置过滤器的拦截路径，这里设置为/*，表示拦截所有请求registrationBean.addUrlPatterns("/*"); return registrationBean; } }使用过滤器实现 CORS 的方式灵活性极高，并且可以与 Spring Security 等安全框架进行深度整合，实现更为复杂且安全的跨域逻辑。但相对而言，其配置和代码编写也更为复杂，需要开发人员对 Servlet 过滤器机制有较为深入的理解。
对于一些需要在请求处理之前或之后添加复杂逻辑的场景，创建一个拦截器来处理 CORS 请求是个可行的办法。拦截器能够在请求到达 Controller 之前，或者在 Controller 处理完请求返回响应之前，执行自定义的逻辑。
以下是一个简单的 CorsInterceptor 示例：
import org.springframework.web.servlet.HandlerInterceptor; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; public class CorsInterceptor implements HandlerInterceptor { public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 在这里添加处理跨域的逻辑，例如设置响应头response.setHeader("Access-Control-Allow-Origin", "http://allowed-origin.com"); response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE"); return true; } public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {} public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {} }同样，需要在配置类中注册拦截器：
import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.config.annotation.InterceptorRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; @Configuration public class MvcConfig implements WebMvcConfigurer { @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new CorsInterceptor) .addPathPatterns("/**"); // 对所有路径都应用此拦截器} }通过拦截器处理 CORS 请求，可以实现一些更具针对性的跨域控制逻辑，比如根据不同的请求路径、请求头信息或者用户身份等，动态地设置跨域响应头。不过，由于拦截器会对每个匹配路径的请求进行处理，所以在性能方面需要特别关注，确保不会因为过多的拦截器逻辑而影响系统的整体响应速度。
在解决 Spring Boot3 跨域问题时，安全性始终是重中之重。以下是一些关键的安全考量点与最佳实践建议：
（一）谨慎设置Access-Control-Allow-Origin
在设置 Access-Control-Allow-Origin 响应头时，应避免直接使用 * 来允许所有来源的请求。在生产环境中，这会使应用程序面临极大的安全风险，恶意网站可能会利用跨域请求漏洞窃取敏感信息。务必根据实际业务需求，精确指定允许的前端域名，例如 http://your-legitimate-frontend.com，从而有效限制跨域请求的来源，降低安全隐患。
（二）合理配置 HTTP 方法和请求头
在定义 allowedMethods 和 allowedHeaders 时，应遵循最小权限原则。仅允许实际业务所需的 HTTP 方法（如 GET、POST、PUT、DELETE 等）以及必要的请求头。例如，如果某个接口仅用于获取数据，那么仅允许 GET 方法即可，避免不必要地开放其他方法，减少潜在的攻击面。对于请求头，同样只允许那些真正用于业务交互的头部信息，防止恶意用户通过构造特殊请求头进行攻击。
（三）结合 Spring Security 进行安全防护
将 CORS 配置与 Spring Security 框架紧密结合，可以进一步增强应用程序的安全性。Spring Security 提供了强大的身份验证、授权以及安全防护机制，能够对跨域请求进行更加细致的控制。例如，可以在 Spring Security 的配置中，结合用户角色、权限等信息，动态地决定是否允许某个跨域请求。同时，Spring Security 还能有效防范常见的安全漏洞，如 CSRF（跨站请求伪造）攻击，确保跨域请求在安全的环境下进行。
（四）定期审查和更新跨域配置
随着项目的持续发展和业务需求的不断变化，跨域配置也需要定期进行审查和更新。新的前端页面可能会被添加，第三方 API 的调用方式可能会发生改变，这些都可能导致原有的跨域配置不再适用。定期检查跨域配置，确保其与当前的业务架构和安全要求相匹配，能够及时发现并修复潜在的安全问题，保障应用程序的稳定运行。
在 Spring Boot3 开发中，安全解决跨域问题并非一蹴而就，而是需要综合运用多种技术手段，并始终将安全性放在首位。通过深入理解跨域问题的本质，熟练掌握各种解决方法及其适用场景，遵循安全最佳实践，我们能够为互联网软件项目构建起稳固、可靠的跨域通信桥梁，让前后端能够高效协作，为用户提供更加优质的服务。
即使掌握了多种跨域解决方案，在实际开发中仍可能遇到跨域配置不生效、请求被拦截等问题。掌握高效的排查与调试技巧，能帮助开发者快速定位问题根源，减少排查时间。
（一）利用浏览器开发者工具定位问题
浏览器的开发者工具是排查跨域问题的 “第一利器”，尤其是 “网络（Network）” 面板和 “控制台（Console）” 面板，能直观展示跨域请求的状态和错误信息。
查看请求状态码：在 “Network” 面板中筛选 “XHR” 或 “Fetch” 请求，若跨域请求失败，通常会显示 403 Forbidden（服务器拒绝跨域）或 CORS error（浏览器拦截跨域响应）。例如，当服务器未配置 Access-Control-Allow-Origin 时，请求会被浏览器拦截，状态码可能显示为 “已阻止”，且控制台会抛出 Access to XMLHttpRequest at 'http://backend.com/api' from origin 'http://frontend.com' has been blocked by CORS policy 类似错误。
检查请求头与响应头：点击具体的跨域请求，查看 “请求头（Request Headers）” 中的 Origin 字段（确认请求来源是否正确），以及 “响应头（Response Headers）” 中是否包含 Access-Control-Allow-Origin、Access-Control-Allow-Methods 等关键 CORS 头。若响应头中缺失这些字段，说明服务器端的 CORS 配置未生效，需检查配置类或过滤器是否正确加载。
分析预检请求（OPTIONS）：对于非简单请求（如包含自定义请求头、使用 PUT/DELETE 方法），浏览器会先发送 OPTIONS 预检请求。若预检请求返回 404 Not Found 或 405 Method Not Allowed，可能是服务器未处理 OPTIONS 请求 —— 需确认是否在 CORS 配置中允许 OPTIONS 方法，或是否有拦截器误将 OPTIONS 请求判定为非法请求。
若浏览器显示服务器未返回 CORS 响应头，需进一步排查后端配置是否正确加载：
检查配置类是否被扫描：确保 CORS 配置类（如 CorsConfig）上添加了 @Configuration 注解，且所在包在 Spring Boot 的组件扫描范围内（默认扫描启动类所在包及其子包）。若配置类不在扫描范围内，可通过 @ComponentScan 注解手动指定扫描路径。
添加日志打印验证：在配置类的 addCorsMappings 方法或过滤器的 doFilter 方法中添加日志（如使用 log.info("CORS配置已加载，允许的来源：{}", allowedOrigins)），启动项目后查看日志是否输出。若日志未打印，说明配置类未被 Spring 容器初始化，需检查是否存在依赖冲突或配置类注解缺失。
排查过滤器 / 拦截器执行顺序：若项目中同时使用了多个过滤器或拦截器，需确认 CORS 过滤器的执行顺序是否在其他业务过滤器之前。若 CORS 过滤器执行较晚，可能导致其他过滤器先拒绝请求，使 CORS 配置失效。可通过 FilterRegistrationBean 的 setOrder 方法设置优先级（值越小，执行顺序越靠前），例如：
registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE); // 让CORS过滤器优先执行（三）使用 Postman 验证服务器配置
有时跨域问题可能是浏览器的同源策略拦截导致，而非服务器配置问题。此时可使用 Postman 等接口测试工具绕过浏览器拦截，直接发送跨域请求，验证服务器是否返回正确的 CORS 响应头：
在 Postman 中发送与前端相同的请求（相同的 URL、方法、请求头），查看 “响应头” 是否包含 Access-Control-Allow-Origin 等字段。若 Postman 能正常收到响应且响应头正确，说明服务器配置无误，问题可能出在前端请求方式（如未携带必要的请求头）或浏览器缓存；若 Postman 也无法收到正确响应，则需重点排查后端配置。
模拟预检请求：在 Postman 中手动发送 OPTIONS 请求，请求头中添加 Origin: http://frontend.com 和 Access-Control-Request-Method: POST（模拟前端的非简单请求），若服务器返回 200 OK 且包含 CORS 响应头，说明预检请求处理正常；若返回错误，需检查服务器是否正确处理 OPTIONS 请求。
来源：从程序员到架构师一点号