jeecg-boot 跨域配置5 分钟搞懂 CorsFilter 到底在拦什么【免费下载链接】jeecg-boot【低代码v2.0一句话即可生成整个系统】企业级AI低代码平台一键生成前后端代码甚至整个系统。 AI Skills 一句话画流程、设计表单、生成报表、大屏。内置 AI应用平台涵盖AI聊天、知识库、流程编排、MCP插件等兼容主流大模型。引领AI低代码「Skills 生成 → 在线配置 → 代码生成 → 手工合并-AI修改」开发模式解决 Java 项目 90% 重复工作提高效率又不失灵活。项目地址: https://gitcode.com/GitHub_Trending/je/jeecg-boot看见那条红色的 Access-Control-Allow-Origin 报错浏览器控制台飘出红色 blocked by CORS policy接口状态是 200前端却读不到数据。这不是后端 bug是浏览器的同源策略拦住了跨域读取——jeecg-boot 里管这件事的就一个 CorsFilter 加一个条件类。读懂 CorsFilter 默认放行的 4 行配置跨域管控相当于海关关卡浏览器先发一个预检请求OPTIONS 探针服务端答复允许哪些源、方法、请求头浏览器才放行真正的请求。jeecg-boot 的海关规则写在 WebMvcConfiguration.java核心只有 4 行corsConfiguration.setAllowCredentials(true); corsConfiguration.addAllowedOriginPattern(*); corsConfiguration.addAllowedHeader(*); corsConfiguration.addAllowedMethod(*);翻译过来允许带凭证、任意源、任意请求头、任意方法作用于全部路径/**。这个过滤器到底加不加载由 CorsFilterCondition.java 说了算配置里有 Nacos 服务发现地址就判定为微服务过滤器不注册只有单体模式会启用它。按 4 步把跨域配置调到你想要的粒度第 1 步确认你的部署模式吃不吃这个过滤器看启动配置没有 Nacos 发现地址 → 单体过滤器生效微服务模式下找不到跨域响应头说明你找错地方了。第 2 步把通配源换成你的前端域名将addAllowedOriginPattern的参数改写成https://admin.example.com这类具体源多个域名就各调用一次该方法。⚠️ 踩坑提示setAllowCredentials(true)与addAllowedOrigin(*)不能共存Spring 会直接抛异常默认用Pattern写法正是为了让通配符能安全地被具体域名替换。第 3 步补一行预检缓存同一方法里写上corsConfiguration.setMaxAge(3600L)预检结果缓存 1 小时省掉每次多打一个 OPTIONS。第 4 步验证生效重启服务打开页面在网络面板里看接口响应头Access-Control-Allow-Origin是你的域名、数据正常返回即生效 ✅。Cookie 登录的场景前端请求封装里记得设置withCredentials: true。避开这 3 个通配符误用场景如果你是微服务且请求都走网关该文件在这种模式下压根不注册 CorsFilter建议在网关层统一配置 CORS别在 WebMvcConfiguration 里找。如果前后端同域部署Nginx 反代已接管跨域根本不会发生建议别把*长期开着。如果你想临时放开*方便内网联调省事但生产环境带凭证时等于任何站点都能发起跨域请求建议联调完就收敛到具体域名。用一句话收个尾机制就是过滤器按规则放行浏览器代价是开多宽就暴露多宽想继续深挖把 WebMvcConfiguration.java 和 CorsFilterCondition.java 连起来读完就是最短路径。【免费下载链接】jeecg-boot【低代码v2.0一句话即可生成整个系统】企业级AI低代码平台一键生成前后端代码甚至整个系统。 AI Skills 一句话画流程、设计表单、生成报表、大屏。内置 AI应用平台涵盖AI聊天、知识库、流程编排、MCP插件等兼容主流大模型。引领AI低代码「Skills 生成 → 在线配置 → 代码生成 → 手工合并-AI修改」开发模式解决 Java 项目 90% 重复工作提高效率又不失灵活。项目地址: https://gitcode.com/GitHub_Trending/je/jeecg-boot创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考