Spring Boot 处理跨域核心是正确返回 Access-Control-* 响应头；全局配置用 WebMvcConfigurer 的 addCorsMappings 方法，@CrossOrigin 注解用于局部控制，CorsFilter 适用于深度定制或兼容场景，需注意 allowedOrigins 与 Origin 严格匹配、带凭证时不可用通配符等细节。
Spring Boot 中处理跨域（CORS）问题，核心是让后端在响应中正确返回浏览器所需的 Access-Control-* 响应头。浏览器基于同源策略拦截的是“跨域响应的读取”，不是请求本身——所以后端接口照常执行、照常返回数据，只是缺了这些头，浏览器就直接丢弃响应并报错。
全局配置：推荐用于多数项目
适用于整个应用统一管理跨域规则，维护成本低、逻辑清晰。
- 新建配置类，实现 WebMvcConfigurer 接口，重写 addCorsMappings 方法
- 使用 allowedOrigins("*") 允许所有源（开发阶段可用，生产环境建议明确指定，如
https://your-frontend.com） - 若需携带 Cookie 或认证信息（如 token），必须设 allowCredentials(true)，此时
allowedOrigins不能为"*"，需写具体域名 - allowedMethods 明确列出允许的 HTTP 方法（如 GET、POST、PUT、DELETE、OPTIONS）
- maxAge 设置预检请求缓存时间（单位秒），减少重复 OPTIONS 请求
@CrossOrigin 注解：适合局部控制
适用于只需对个别接口或控制器开放跨域的场景，粒度细、灵活性高。
Java 接口排错助手
下载
在调试 Java 后端 API 故障时使用此技能，尤其适用于以下任务：分析日志、跨 Controller、Service 和 Mapper 层追踪请求、定位异常根因、检查 SQL 执行或参数流转，以及生成简洁的诊断结论与修复方案。
- 加在 @RestController 类上：该类下所有接口生效
- 加在具体 @GetMapping 等方法上：仅此接口生效
- 支持完整配置：origins、methods、allowedHeaders、maxAge、allowCredentials 等
- 注意：若同时存在全局配置和注解配置，注解会覆盖全局配置中对应路径的设置
CorsFilter 方式：兼容老版本或需深度定制
通过手动注册 CorsFilter，适用于 WebMvcConfigurer 不起作用的特殊情况（如集成非 Spring MVC 的 Web 框架），或需要在 Filter 链早期介入。
立即学习“Java免费学习笔记（深入）”；
- 创建 @Configuration 类，定义 CorsFilter Bean
- 用 UrlBasedCorsConfigurationSource 绑定路径模式（如
"/**"）与 CorsConfiguration - 可调用
corsConfiguration.addAllowedOrigin()、addAllowedMethod()等精细控制 - 注意：该方式绕过 Spring MVC 的 CORS 处理链，不参与 @CrossOrigin 注解解析
注意事项与常见坑点
很多跨域失败不是配置没写，而是细节没对上。
-
Origin 和 allowedOrigins 必须严格匹配：比如前端是
http://localhost:5173，后端就不能只写localhost:5173或漏掉协议 -
带凭证时禁止用 "*"：只要设置了
allowCredentials = true，allowedOrigins就必须是具体地址列表，不能是通配符 - 预检请求（OPTIONS）要能通过：确保后端能正常响应 OPTIONS 请求（Spring Boot 默认已支持，无需额外写接口）
-
前端请求头触发预检：比如自定义 header（
x-token）、非简单 Content-Type（application/json）、非简单 method（PATCH）都会触发 OPTIONS，后端需在配置中显式允许
