Java后端快速解决跨域问题：@CrossOrigin

本文链接：https://blog.csdn.net/weixin_54524403/article/details/147234729

对于新手java来说相信跨域问题有时候很头疼吧，做大项目的时候做到一半发现跨域又连接不上了，就很烦恼，接下来讨论讨论该如何解决这个问题

一、什么是跨域问题？

跨域问题是由于浏览器的同源策略（Same-Origin Policy）引起的安全机制。当前端通过Ajax请求不同协议、域名或端口的后端服务时，浏览器会拦截响应，导致请求失败。常见的错误提示为：
Access to XMLHttpRequest at 'http://xxx' from origin 'http://yyy' has been blocked by CORS policy.

二、解决方案：Spring的@CrossOrigin注解

Spring框架提供了@CrossOrigin注解，可快速为单个接口或整个Controller配置CORS（跨域资源共享）规则，无需复杂配置。

三、@CrossOrigin的三种使用方式

1. 在方法级别使用

直接为某个接口添加跨域支持：

2. 在Controller类级别使用

为整个Controller下的所有接口配置跨域：

3. 全局配置（推荐）

通过实现WebMvcConfigurer接口，统一配置所有接口的跨域规则，避免重复注解：

四、如何选择最佳方案？

方案	适用场景	优点	缺点
方法级别@CrossOrigin	临时测试或个别接口需要特殊配置	快速、灵活	重复代码多，维护成本高
类级别@CrossOrigin	整个Controller需要统一规则	减少重复注解	无法覆盖全局，多个Controller需重复配置
全局配置	所有接口统一规则（生产环境推荐）	集中管理，高效维护，代码简洁	需要谨慎配置安全策略

五、保证代码质量的注意事项

精确配置来源（Origin）
生产环境避免使用allowedOrigins("*")，改为明确的前端域名：

限制HTTP方法
只开放必要的HTTP方法，如GET、POST，避免不必要的风险。
启用AllowCredentials需谨慎
如果跨域请求需要携带Cookie或认证头，需设置allowCredentials(true)，并配合指定具体来源：

4. 避免重复配置
不要同时在全局配置和@CrossOrigin中启用跨域，否则可能导致规则冲突。

5.结合Spring Security
如果项目使用了Spring Security，需在Security配置中允许CORS：

六、常见问题排查

Q：配置了@CrossOrigin但依然跨域？
A：检查是否有多个CORS配置冲突，或浏览器缓存了旧配置（尝试无痕模式）。
Q：POST请求被拦截为OPTIONS请求？
A：这是浏览器的预检（Preflight）机制，确保后端正确处理OPTIONS方法，全局配置中需包含相关Method。
Q：生产环境如何动态配置多个域名？
A：可以通过读取配置文件或数据库动态设置allowedOrigins。