JAVA面试|什么是跨域问题?Spring Boot如何解决跨域问题?

跨域问题是指浏览器出于安全考虑，限制网页从一个源（域名、协议、端口）向另一个源发送请求的行为。这是由浏览器的同源策略导致的。如果两个URL的协议、域名或端口有任何一个不同，就会触发跨域限制。

例如：

前端页面地址：http://localhost:8080

后端接口地址：http://localhost:8081

此时前端请求后端接口会被浏览器拦截，因为端口不同（8080 vs 8081）。

一、跨域问题的底层原理

1. 为什么会有跨域限制？

浏览器为了防止恶意网站窃取用户数据（如Cookie）或发起CSRF 攻击（跨站请求伪造），默认禁止跨域请求。

注意：跨域限制是浏览器的行为，服务器之间直接调用接口（如 Postman测试）不会触发跨域问题！

2. CORS是什么？

跨域资源共享（Cross-Origin Resource Sharing），是W3C的标准，通过服务器在响应头中添加特定字段（如
Access-Control-Allow-Origin），告诉浏览器允许哪些源的请求访问资源。

3. 简单请求 vs 预检请求（Preflight）

简单请求：直接发送请求，如GET、POST（Content-Type 为 text/plain 或 form-data）。

预检请求：复杂请求（如 PUT、DELETE、自定义头、Content-Type 为 application/json）会先发送一个OPTIONS请求，询问服务器是否允许跨域。

关键点：如果预检请求未通过，实际请求不会发送！

二、Spring Boot如何解决跨域问题？

Spring Boot提供了多种方式解决跨域，核心思路是让服务器告诉浏览器：“允许来自某个源的请求访问我”。

1. 方法1：使用@CrossOrigin注解（局部解决）

在Controller类或方法上添加@CrossOrigin注解，允许指定源的请求。

@RestController

@CrossOrigin(origins = "http://localhost:8080") // 允许 8080 端口的请求

public class MyController {

@GetMapping("/hello")

public String hello() {

return "Hello, CORS!";

}

}

2. 方法2：全局配置（推荐）

通过配置类统一管理所有跨域规则，适合整个项目。

@Configuration

public class CorsConfig implements WebMvcConfigurer {

@Override

public void addCorsMappings(CorsRegistry registry) {

registry.addMapping("/**") // 匹配所有接口路径

.allowedOrigins("http://localhost:8080") // 允许的源

.allowedMethods("GET", "POST", "PUT", "DELETE") // 允许的方法

.allowedHeaders("*") // 允许的请求头

.allowCredentials(true) // 允许携带 Cookie

.maxAge(3600); // 预检请求缓存时间（秒）

}

}

3. 方法3：通过过滤器解决

自定义过滤器手动添加CORS响应头。

@Bean

public FilterRegistrationBean<CorsFilter> corsFilter() {

UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();

CorsConfiguration config = new CorsConfiguration();

config.addAllowedOrigin("http://localhost:8080");

config.addAllowedMethod("*");

config.addAllowedHeader("*");

config.setAllowCredentials(true);

source.registerCorsConfiguration("/**", config);

return new FilterRegistrationBean<>(new CorsFilter(source));

}

三、Spring Boot解决跨域的进阶场景

1. 场景1：结合Spring Security时的跨域问题

如果项目引入了Spring Security，即使配置了全局CORS，仍可能被Security拦截。

解决方法：在安全配置中显式启用CORS。

@Configuration

@EnableWebSecurity

public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Override

protected void configure(HttpSecurity http) throws Exception {

http

.cors() // 启用 Spring Security 的 CORS 支持

.and()

// 其他配置（如 CSRF 禁用、权限控制等）

.csrf().disable()

.authorizeRequests()

.anyRequest().permitAll();

}

// 关键：提供 CORS 配置源（与全局 CORS 配置结合）

@Bean

CorsConfigurationSource corsConfigurationSource() {

CorsConfiguration config = new CorsConfiguration();

config.addAllowedOrigin("http://localhost:8080");

config.addAllowedMethod("*");

config.addAllowedHeader("*");

config.setAllowCredentials(true);

UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();

source.registerCorsConfiguration("/**", config);

return source;

}

}

2. 场景2：携带Cookie的跨域请求

前端需要发送Cookie（如身份认证）时：

后端配置：

.allowCredentials(true) // 允许携带凭证（如 Cookie）

// 注意：此时 allowedOrigins 不能为 *，必须明确指定域名！

前端配置：

fetch("http://localhost:8081/api/data", {

credentials: 'include' // 告诉浏览器发送 Cookie

});

3. 场景3：网关层统一处理跨域（如Spring Cloud Gateway）

在微服务架构中，通常在网关层统一处理跨域，避免每个服务重复配置。

示例配置（Gateway的application.yml）：

spring:

cloud:

gateway:

globalcors:

cors-configurations:

'[/**]':

allowedOrigins: "http://localhost:8080"

allowedMethods: "*"

allowedHeaders: "*"

allowCredentials: true

maxAge: 3600

四、其他解决跨域的方案（非Spring Boot）

1. 方案1：前端代理（开发环境常用）

利用Webpack、Vite等工具将前端请求代理到后端，绕过浏览器跨域限制。

2. 方案2：Nginx反向代理

通过Nginx将前后端请求转发到同一域名下，避开跨域问题。

示例配置：

server {

listen 80;

server_name your-domain.com;

# 前端静态资源

location / {

root /usr/share/nginx/html;

index index.html;

}

# 反向代理后端接口

location /api {

proxy_pass http://backend-server:8081;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

}

}

五、常见问题排查

1. 问题1：配置了CORS，但依然报跨域错误

可能原因：

缓存问题：浏览器缓存了旧的CORS响应头，尝试清除缓存或使用无痕模式。

路径未匹配：全局配置的addMapping("/**")是否覆盖了你的接口路径？

Spring Security拦截：未在安全配置中启用CORS。

响应头缺失：检查响应头是否包含
Access-Control-Allow-Origin。

2. 问题2：预检请求（OPTIONS）返回403状态码

可能原因：Spring Security默认拦截OPTIONS请求，需在配置中放行：

@Override

protected void configure(HttpSecurity http) throws Exception {

http

.authorizeRequests()

.antMatchers(HttpMethod.OPTIONS).permitAll() // 放行所有 OPTIONS 请求

.anyRequest().authenticated();

}

六、总结

跨域本质：浏览器为了保护用户安全，限制“不同源”的请求。

解决核心：服务器通过响应头告诉浏览器“允许谁访问我”。

Spring Boot方案：局部注解、全局配置、过滤器、结合Spring Security。

进阶场景：携带Cookie、网关层处理、Nginx代理。

安全第一：生产环境明确指定域名，避免通配符！