官方文档：http://docs.spring.io/spring/docs/current/spring-framework-reference/html/cors.html
控制器方法CORS设定
你可以添加到你的@RequestMapping注解处理方法@CrossOrigin，以便能够在其上CORS注释（默认情况下@CrossOrigin允许所有的起源和在指定的HTTP方法@RequestMapping注释）：
@RestController @RequestMapping("/account") public class AccountController { @CrossOrigin @GetMapping("/{id}") public Account retrieve(@PathVariable Long id) { // ... } @DeleteMapping("/{id}") public void remove(@PathVariable Long id) { // ... } }
也可以使CORS整个控制器：
@CrossOrigin(origins = "http://domain2.com", maxAge = 3600) @RestController @RequestMapping("/account") public class AccountController { @GetMapping("/{id}") public Account retrieve(@PathVariable Long id) { // ... } @DeleteMapping("/{id}") public void remove(@PathVariable Long id) { // ... } }
在这个例子中CORS的支持，是你在启用retrieve()和remove()处理方法，你还可以看到如何使用自定义CORS配置@CrossOrigin属性。
你甚至可以使用两个控制器和方法级CORS配置，Spring会再结合这两个注释属性来创建一个合并CORS配置。
@CrossOrigin(maxAge = 3600) @RestController @RequestMapping("/account") public class AccountController { @CrossOrigin(origins = "http://domain2.com") @GetMapping("/{id}") public Account retrieve(@PathVariable Long id) { // ... } @DeleteMapping("/{id}") public void remove(@PathVariable Long id) { // ... } }
如果你正在使用Spring Security，确保enable CORS at Spring Security level 以及允许其利用在Spring MVC的级别定义的配置。
@EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.cors().and()... } }
全局CORS配置
除了细粒度的，基于注解的配置，你可能会想定义一些全局CORS配置为好。这是类似于使用过滤器，但可以声明withing Spring MVC和细粒度组合@CrossOrigin配置。默认情况下，所有的起源和GET，HEAD和POST方法都是允许的。
JavaConfig
启用CORS为整个应用程序是非常简单：
@Configuration @EnableWebMvc public class WebConfig extends WebMvcConfigurerAdapter { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**"); } }
如果你在使用Spring boot，建议声明WebMvcConfigurer bean如下：
@Configuration public class MyConfiguration { @Bean public WebMvcConfigurer corsConfigurer() { return new WebMvcConfigurerAdapter() { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**"); } }; } }
你可以轻松地更改任何属性，以及仅适用此CORS配置到特定的路径模式：
@Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/api/**") .allowedOrigins("http://domain2.com") .allowedMethods("PUT", "DELETE") .allowedHeaders("header1", "header2", "header3") .exposedHeaders("header1", "header2") .allowCredentials(false).maxAge(3600); }
如果你正在使用Spring Security，确保enable CORS at Spring Security level 以及允许其利用在Spring MVC的级别定义的配置。
XML命名空间
也可以与配置CORS MVC XML命名空间。
这个最小的XML配置启用CORS /**具有比JavaConfig一个相同的默认属性路径图案：
<mvc:cors> <mvc:mapping path="/**" /> </mvc:cors>
也可以用自定义的属性来声明几个CORS映射：
<mvc:cors> <mvc:mapping path="/api/**" allowed-origins="http://domain1.com, http://domain2.com" allowed-methods="GET, PUT" allowed-headers="header1, header2, header3" exposed-headers="header1, header2" allow-credentials="false" max-age="123" /> <mvc:mapping path="/resources/**" allowed-origins="http://domain1.com" /> </mvc:cors>
如果你正在使用Spring Security的，不要忘了enable CORS at Spring Security level 还有：
<http> <!-- Default to Spring MVC's CORS configuration --> <cors /> ... </http>
它是如何工作的？
CORS请求（包括那些预检与OPTIONS方法）被自动分发到各个HandlerMapping注册秒。他们处理CORS预检要求和拦截CORS简单而实际的请求得益于CorsProcessor实现（DefaultCorsProcessor以添加相关CORS响应头（如默认情况下）Access-Control-Allow-Origin）。CorsConfiguration允许你指定CORS请求应如何处理：允许起源，头，方法等，可以以各种方式提供：
-
AbstractHandlerMapping#setCorsConfiguration()允许指定Map几个CorsConfiguration映射路径模式，如/api/** - 子类可以提供自己
CorsConfiguration的首要AbstractHandlerMapping#getCorsConfiguration(Object, HttpServletRequest)方法 - 处理程序可以实现
CorsConfigurationSource接口（像ResourceHttpRequestHandler现在一样），以提供一个CorsConfiguration为每个请求。
基于过滤器CORS支持
至于其它方法替代以上呈现，Spring框架还提供了一个CorsFilter。在这种情况下，而不是使用@CrossOrigin或WebMvcConfigurer#addCorsMappings(CorsRegistry)，例如，你可以声明过滤器在Spring boot应用程序如下：
@Configuration public class MyConfiguration { @Bean public FilterRegistrationBean corsFilter() { UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource(); CorsConfiguration config = new CorsConfiguration(); config.setAllowCredentials(true); config.addAllowedOrigin("http://domain1.com"); config.addAllowedHeader("*"); config.addAllowedMethod("*"); source.registerCorsConfiguration("/**", config); FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source)); bean.setOrder(0); return bean; } }