四时宝库

程序员的知识宝库

2025年10月02日

Spring Boot3 中安全解决跨域问题的深度剖析(一)

在当今互联网软件开发领域，前后端分离架构盛行，Spring Boot 作为主流的后端开发框架，在处理跨域问题上扮演着关键角色。对于广大互联网软件开发人员而言，掌握 Spring Boot3 中安全解决跨域问题的方法，是保障项目稳定、高效运行的必备技能。

跨域问题的根源：浏览器同源策略

浏览器的同源策略可谓是跨域问题的 “始作俑者”。简单来说，同源要求两个页面的协议、主机和端口号完全相同。一旦网页尝试从一个源（域、协议、端口）与当前页面不同的资源进行请求时，跨域问题便会触发。例如，http://example.com:8080 与 https://example.com:8080，虽然主机和端口相同，但协议不同，这就会导致跨域；再如 http://a.example.com 和 http://b.example.com，即便同属一个大域名下的不同子域，也会因为域名部分不一致而出现跨域情况 。

这一策略的初衷是为了保障用户的信息安全，防止恶意代码窃取用户数据或执行恶意操作。设想一下，如果没有同源策略的限制，恶意网站便可以随意访问其他网站的敏感信息，用户在登录银行网站后，其账号密码等信息就可能被轻易窃取，后果不堪设想。然而，在实际的开发场景中，尤其是前后端分离项目以及调用第三方 API 时，跨域请求又是不可避免的，这就促使我们必须寻找有效的解决方案。

解决跨域问题的常用方法

（一）JSONP：曾经的跨域 “利器”

JSONP（JSON with Padding）利用了 script 标签的 src 属性不受同源策略限制的特性来进行跨域数据传输。它通过动态创建 script 标签，并将 src 属性指定为跨域请求的 URL，服务器返回的数据会被包裹在回调函数中，前端通过执行回调函数来获取数据。

例如，前端代码可以这样写：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>ajax请求</title>
    <!--引入jquery-->
    <script src="https://code.jquery.com/jquery-3.1.1.min.js"></script>
</head>
<body>
<button onclick="myFunction()">调用接口：/hello</button>
<script>
    function myFunction() {
        $.ajax({
            url: "http://localhost:9090/hello",
            type: "GET",
            dataType: "jsonp",
            success: function (data) {
                console.log(data)
            }
        })
    }
</script>
</body>
</html>

后端对应的 Spring Boot 接口则需返回 JSONPObject 对象：

package com.hyl.controller; 

import com.fasterxml.jackson.databind.util.JSONPObject;
import com.hyl.common.Result; 
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController; 

//表示对外提供可访问接口的类
@RestController
public class WebController { 
    //测试接口 
    @GetMapping("/hello") 
    public JSONPObject hello(String callback){ 
        return new JSONPObject(callback,Result.success("hello")); 
    } 
}
package com.hyl.common; 

/** 
 * 统一后端返回的数据结果类型 
 */
public class Result { 
    //请求状态码 
    private String code; 
    //成功或错误信息 
    private String msg; 
    //返回数据结果 
    private Object data; 

    //常用静态方法 
    //请求成功且无数据返回 
    public static Result success() {
        Result result = new Result();
        result.setCode("200");
        result.setMsg("请求成功");
        return result;
    } 

    //请求成功且有数据返回。 
    public static Result success(Object data) { 
        //直接调用静态方法设置状态码、请求成功信息 
        Result result = Result.success(); 
        result.setData(data); 
        return result; 
    } 

    //请求失败且无数据返回 
    public static Result error() {
        Result result = new Result();
        result.setCode("500");
        result.setMsg("系统出错了！");
        return result;
    } 

    //请求失败且无数据返回。适配自定义异常（传递code、msg） 
    public static Result error(String code, String msg) {
        Result result = new Result();
        result.setCode(code);
        result.setMsg(msg);
        return result;
    } 

    //getter、setter方法 
    public String getCode() { 
        return code; 
    } 

    public void setCode(String code) { 
        this.code = code; 
    } 

    public String getMsg() { 
        return msg; 
    } 

    public void setMsg(String msg) { 
        this.msg = msg; 
    } 

    public Object getData() { 
        return data; 
    } 

    public void setData(Object data) { 
        this.data = data; 
    }
}

不过，JSONP 也存在诸多局限性。许多浏览器对其兼容性不佳，并且后端必须返回 JSONPObject 对象，在大量使用时会导致较高的耦合度。因此，如今 JSONP 已逐渐不再常用，在实际项目中，我们仅需对其有大概了解并能进行简单使用即可，无需深入学习。

（二）CORS：跨域资源共享的主流方案

CORS（Cross-Origin Resource Sharing）是一种基于 HTTP 头的机制，专门用于克服浏览器的同源策略限制，允许 Web 应用程序从不同源（域名、协议、端口）请求和访问资源。其基本工作原理如下：

当浏览器发送跨域请求时，首先会发送一个预检请求（OPTIONS 请求），目的是询问服务器是否允许该跨域请求。服务器收到预检请求后，会仔细检查请求头中的相关信息，特别是 Origin 字段（它明确表示了请求的源），然后依据自身的 CORS 配置，返回相应的响应头。若服务器允许该跨域请求，便会在响应头中添加诸如
Access-Control-Allow-Origin 等字段，告知浏览器允许哪些源的请求。例如，若
Access-Control-Allow-Origin 的值为 http://example.com，则表示仅允许来自 http://example.com 的请求跨域访问；若值为 *，则表示允许所有来源的请求跨域访问，但在生产环境中，为了安全性考虑，通常不会直接使用 *，而是指定具体的域名。

Spring Boot3 中解决跨域问题的具体实现

（一）使用@CrossOrigin注解

在 Spring Boot3 项目里，最为便捷的一种解决跨域问题的方式就是使用 @CrossOrigin 注解。你既可以将其添加在 Controller 类上，也可以添加在具体的请求处理方法上。

当在 Controller 类上使用时，该控制器下的所有方法都将遵循此跨域配置。例如：

@RestController 
@RequestMapping("/user") 
@CrossOrigin(origins = "*") // 允许所有来源的请求跨域 
public class UserController { 
    // 控制器内的方法都会允许跨域请求
}

而如果将注解添加到特定方法上，那么只有该方法会应用此 CORS 配置，例如：

@RestController 
@RequestMapping("/user") 
public class UserController { 
    @GetMapping("/info") 
    @CrossOrigin(origins = "http://allowed-origin.com") // 仅允许来自http://allowed-origin.com的请求跨域访问此方法
    public String getUserInfo() {
        return "User information";
    } 
}

这种方式简单直接，特别适用于单个端点的调试场景。不过，若项目中存在大量的 Controller 和方法，每个都单独配置 @CrossOrigin 注解，会显得繁琐且不利于统一管理。

（二）全局配置 CORS

若希望对整个项目进行统一的 CORS 配置，而非在每个 Controller 或方法上逐一设置，创建一个配置类来实现 WebMvcConfigurer 接口是个不错的选择。通过重写 addCorsMappings 方法，我们可以灵活地定义 CORS 策略。

具体代码如下：

import org.springframework.context.annotation.Configuration; 
import org.springframework.web.servlet.config.annotation.CorsRegistry; 
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; 

@Configuration 
public class CorsConfig implements WebMvcConfigurer { 
    @Override 
    public void addCorsMappings(CorsRegistry registry) { 
        // 添加映射路径，这里表示对所有路径都应用CORS配置
        registry.addMapping("/**") 
              .allowedOrigins("*") // 允许所有来源的访问，在生产环境中通常应指定具体域名
              .allowedMethods("POST", "GET", "PUT", "OPTIONS", "DELETE") // 允许的HTTP方法
              .allowedHeaders("*") // 允许的HTTP头部
              .allowCredentials(true) // 是否允许携带凭证（如cookies等）
              .maxAge(168000); // 预检请求的有效期，单位为秒
    }
}

在上述配置中，addMapping("/**") 表明对项目中的所有请求路径都应用此 CORS 配置。allowedOrigins("*") 虽然方便，但从安全角度考虑，在生产环境下，建议将其替换为实际允许的域名，例如 allowedOrigins("
http://your-frontend-domain.com")。allowedMethods 明确了允许的 HTTP 请求方法，allowedHeaders 定义了允许的请求头，allowCredentials 决定是否允许前端请求携带凭证，而 maxAge 则设置了预检请求的缓存时间，这意味着在有效期内，浏览器无需再次发送预检请求，从而提高了请求效率。

这种全局配置的方式适用于常规的 Web 应用项目，能够简洁高效地管理整个项目的跨域规则，同时在安全性和灵活性上也能达到较好的平衡。

（三）使用 Filter 实现 CORS

通过实现 Filter 接口，我们可以自定义 CORS 处理逻辑，从而实现更细粒度的跨域控制。这在一些需要动态控制跨域策略的复杂场景中尤为有用。

以下是一个简单的自定义 CorsFilter 示例：

import javax.servlet.*; 
import javax.servlet.http.HttpServletResponse; 
import java.io.IOException; 

public class SimpleCorsFilter implements Filter { 
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res; 
        // 设置允许跨域的源，这里设置为http://example.com，实际应用中按需修改
        response.setHeader("Access-Control-Allow-Origin", "http://example.com"); 
        response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE"); 
        response.setHeader("Access-Control-Max-Age", "3600"); 
        response.setHeader("Access-Control-Allow-Headers", "x-requested-with"); 
        chain.doFilter(req, res); 
    } 

    public void init(FilterConfig filterConfig) throws ServletException {} 

    public void destroy() {} 
}

在定义好过滤器后，还需要在配置类中进行注册，使过滤器生效：

import org.springframework.boot.web.servlet.FilterRegistrationBean; 
import org.springframework.context.annotation.Bean; 
import org.springframework.context.annotation.Configuration; 

@Configuration 
public class FilterConfig { 
    @Bean 
    public FilterRegistrationBean<SimpleCorsFilter> corsFilter() { 
        FilterRegistrationBean<SimpleCorsFilter> registrationBean = new FilterRegistrationBean<>(); 
        registrationBean.setFilter(new SimpleCorsFilter()); 
        // 设置过滤器的拦截路径，这里设置为/*，表示拦截所有请求
        registrationBean.addUrlPatterns("/*"); 
        return registrationBean; 
    } 
}

使用过滤器实现 CORS 的方式灵活性极高，并且可以与 Spring Security 等安全框架进行深度整合，实现更为复杂且安全的跨域逻辑。但相对而言，其配置和代码编写也更为复杂，需要开发人员对 Servlet 过滤器机制有较为深入的理解。

（四）使用拦截器（Interceptor）

对于一些需要在请求处理之前或之后添加复杂逻辑的场景，创建一个拦截器来处理 CORS 请求是个可行的办法。拦截器能够在请求到达 Controller 之前，或者在 Controller 处理完请求返回响应之前，执行自定义的逻辑。

以下是一个简单的 CorsInterceptor 示例：

import org.springframework.web.servlet.HandlerInterceptor; 
import javax.servlet.http.HttpServletRequest; 
import javax.servlet.http.HttpServletResponse; 

public class CorsInterceptor implements HandlerInterceptor { 
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { 
        // 在这里添加处理跨域的逻辑，例如设置响应头
        response.setHeader("Access-Control-Allow-Origin", "http://allowed-origin.com"); 
        response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE"); 
        return true; 
    } 

    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {} 

    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {} 
}

同样，需要在配置类中注册拦截器：

import org.springframework.context.annotation.Configuration; 
import org.springframework.web.servlet.config.annotation.InterceptorRegistry; 
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; 

@Configuration 
public class MvcConfig implements WebMvcConfigurer { 
    @Override 
    public void addInterceptors(InterceptorRegistry registry) { 
        registry.addInterceptor(new CorsInterceptor()) 
              .addPathPatterns("/**"); // 对所有路径都应用此拦截器
    } 
}

通过拦截器处理 CORS 请求，可以实现一些更具针对性的跨域控制逻辑，比如根据不同的请求路径、请求头信息或者用户身份等，动态地设置跨域响应头。不过，由于拦截器会对每个匹配路径的请求进行处理，所以在性能方面需要特别关注，确保不会因为过多的拦截器逻辑而影响系统的整体响应速度。

安全考量与最佳实践

在解决 Spring Boot3 跨域问题时，安全性始终是重中之重。以下是一些关键的安全考量点与最佳实践建议：

（一）谨慎设置
Access-Control-Allow-Origin

在设置
Access-Control-Allow-Origin 响应头时，应避免直接使用 * 来允许所有来源的请求。在生产环境中，这会使应用程序面临极大的安全风险，恶意网站可能会利用跨域请求漏洞窃取敏感信息。务必根据实际业务需求，精确指定允许的前端域名，例如
http://your-legitimate-frontend.com，从而有效限制跨域请求的来源，降低安全隐患。

（二）合理配置 HTTP 方法和请求头

在定义 allowedMethods 和 allowedHeaders 时，应遵循最小权限原则。仅允许实际业务所需的 HTTP 方法（如 GET、POST、PUT、DELETE 等）以及必要的请求头。例如，如果某个接口仅用于获取数据，那么仅允许 GET 方法即可，避免不必要地开放其他方法，减少潜在的攻击面。对于请求头，同样只允许那些真正用于业务交互的头部信息，防止恶意用户通过构造特殊请求头进行攻击。

（三）结合 Spring Security 进行安全防护

将 CORS 配置与 Spring Security 框架紧密结合，可以进一步增强应用程序的安全性。Spring Security 提供了强大的身份验证、授权以及安全防护机制，能够对跨域请求进行更加细致的控制。例如，可以在 Spring Security 的配置中，结合用户角色、权限等信息，动态地决定是否允许某个跨域请求。同时，Spring Security 还能有效防范常见的安全漏洞，如 CSRF（跨站请求伪造）攻击，确保跨域请求在安全的环境下进行。

（四）定期审查和更新跨域配置

随着项目的持续发展和业务需求的不断变化，跨域配置也需要定期进行审查和更新。新的前端页面可能会被添加，第三方 API 的调用方式可能会发生改变，这些都可能导致原有的跨域配置不再适用。定期检查跨域配置，确保其与当前的业务架构和安全要求相匹配，能够及时发现并修复潜在的安全问题，保障应用程序的稳定运行。

在 Spring Boot3 开发中，安全解决跨域问题并非一蹴而就，而是需要综合运用多种技术手段，并始终将安全性放在首位。通过深入理解跨域问题的本质，熟练掌握各种解决方法及其适用场景，遵循安全最佳实践，我们能够为互联网软件项目构建起稳固、可靠的跨域通信桥梁，让前后端能够高效协作，为用户提供更加优质的服务。

跨域问题的排查与调试技巧

即使掌握了多种跨域解决方案，在实际开发中仍可能遇到跨域配置不生效、请求被拦截等问题。掌握高效的排查与调试技巧，能帮助开发者快速定位问题根源，减少排查时间。

（一）利用浏览器开发者工具定位问题

浏览器的开发者工具是排查跨域问题的 “第一利器”，尤其是 “网络（Network）” 面板和 “控制台（Console）” 面板，能直观展示跨域请求的状态和错误信息。

查看请求状态码：在 “Network” 面板中筛选 “XHR” 或 “Fetch” 请求，若跨域请求失败，通常会显示 403 Forbidden（服务器拒绝跨域）或 CORS error（浏览器拦截跨域响应）。例如，当服务器未配置
Access-Control-Allow-Origin 时，请求会被浏览器拦截，状态码可能显示为 “已阻止”，且控制台会抛出 Access to XMLHttpRequest at 'http://backend.com/api' from origin 'http://frontend.com' has been blocked by CORS policy 类似错误。

检查请求头与响应头：点击具体的跨域请求，查看 “请求头（Request Headers）” 中的 Origin 字段（确认请求来源是否正确），以及 “响应头（Response Headers）” 中是否包含
Access-Control-Allow-Origin、
Access-Control-Allow-Methods 等关键 CORS 头。若响应头中缺失这些字段，说明服务器端的 CORS 配置未生效，需检查配置类或过滤器是否正确加载。

分析预检请求（OPTIONS）：对于非简单请求（如包含自定义请求头、使用 PUT/DELETE 方法），浏览器会先发送 OPTIONS 预检请求。若预检请求返回 404 Not Found 或 405 Method Not Allowed，可能是服务器未处理 OPTIONS 请求 —— 需确认是否在 CORS 配置中允许 OPTIONS 方法，或是否有拦截器误将 OPTIONS 请求判定为非法请求。

（二）后端日志排查配置加载问题

若浏览器显示服务器未返回 CORS 响应头，需进一步排查后端配置是否正确加载：

检查配置类是否被扫描：确保 CORS 配置类（如 CorsConfig）上添加了 @Configuration 注解，且所在包在 Spring Boot 的组件扫描范围内（默认扫描启动类所在包及其子包）。若配置类不在扫描范围内，可通过 @ComponentScan 注解手动指定扫描路径。

添加日志打印验证：在配置类的 addCorsMappings 方法或过滤器的 doFilter 方法中添加日志（如使用 log.info("CORS配置已加载，允许的来源：{}", allowedOrigins)），启动项目后查看日志是否输出。若日志未打印，说明配置类未被 Spring 容器初始化，需检查是否存在依赖冲突或配置类注解缺失。

排查过滤器 / 拦截器执行顺序：若项目中同时使用了多个过滤器或拦截器，需确认 CORS 过滤器的执行顺序是否在其他业务过滤器之前。若 CORS 过滤器执行较晚，可能导致其他过滤器先拒绝请求，使 CORS 配置失效。可通过 FilterRegistrationBean 的 setOrder 方法设置优先级（值越小，执行顺序越靠前），例如：

registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE); // 让CORS过滤器优先执行

（三）使用 Postman 验证服务器配置

有时跨域问题可能是浏览器的同源策略拦截导致，而非服务器配置问题。此时可使用 Postman 等接口测试工具绕过浏览器拦截，直接发送跨域请求，验证服务器是否返回正确的 CORS 响应头：

在 Postman 中发送与前端相同的请求（相同的 URL、方法、请求头），查看 “响应头” 是否包含
Access-Control-Allow-Origin 等字段。若 Postman 能正常收到响应且响应头正确，说明服务器配置无误，问题可能出在前端请求方式（如未携带必要的请求头）或浏览器缓存；若 Postman 也无法收到正确响应，则需重点排查后端配置。

模拟预检请求：在 Postman 中手动发送 OPTIONS 请求，请求头中添加 Origin: http://frontend.com 和
Access-Control-Request-Method: POST（模拟前端的非简单请求），若服务器返回 200 OK 且包含 CORS 响应头，说明预检请求处理正常；若返回错误，需检查服务器是否正确处理 OPTIONS 请求。

标签：后端开发框架 

作者:sishi88 , 分类:技术教程 , 浏览:1 , 评论:0

发表评论:

控制面板
您好，欢迎到访网站！
  查看权限
网站分类
最新留言
    友情链接