一、跨域问题的本质与成因

在Web开发中，跨域请求是前端与后端分离架构下的常见挑战。当浏览器发现某个请求的协议、域名或端口与当前页面不一致时，会触发同源策略限制，导致请求被拦截。这种安全机制虽能防止XSS攻击，但也给合法的前后端交互带来障碍。

以典型场景为例：前端部署在https://example.com，后端API部署在https://api.example.com，此时浏览器会阻止前端发起的跨域请求。开发者需要明确的是，跨域限制是浏览器行为，而非服务器限制，因此解决方案需在服务端配置或通过浏览器可识别的协议实现。

二、CORS机制详解

跨域资源共享（CORS）是W3C制定的标准解决方案，通过响应头声明允许的跨域请求来源。其核心响应头包括：

Access-Control-Allow-Origin：允许的源列表（*表示通配）
Access-Control-Allow-Methods：允许的HTTP方法
Access-Control-Allow-Headers：允许的自定义头
Access-Control-Allow-Credentials：是否允许携带凭证

当浏览器发送预检请求（OPTIONS方法）时，服务端需正确响应这些头部信息。值得注意的是，简单请求（GET/POST等）不会触发预检，而复杂请求（含自定义头或非简单方法）必须通过预检验证。

三、SpringBoot中的三种实现方案

方案1：全局配置（推荐生产环境使用）

通过继承WebMvcConfigurer接口实现全局跨域配置：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("https://example.com", "https://dev.example.com")
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowedHeaders("*")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

此方案优势在于集中管理，适合微服务架构。需注意：

生产环境应明确指定允许的源，避免使用*通配符
当需要携带Cookie时，必须设置allowCredentials(true)且不能使用*
maxAge可缓存预检结果，减少重复OPTIONS请求

方案2：注解配置（适合局部接口）

对单个Controller或Method添加@CrossOrigin注解：

@RestController
@RequestMapping("/api")
@CrossOrigin(origins = "https://example.com", maxAge = 3600)
public class ApiController {
    @GetMapping("/data")
    @CrossOrigin(methods = {RequestMethod.GET, RequestMethod.POST})
    public ResponseEntity<String> getData() {
        return ResponseEntity.ok("Success");
    }
}

该方式灵活但维护成本较高，适合需要差异化配置的特殊接口。

方案3：Nginx反向代理（前后端同源化）

通过Nginx配置实现虚拟同源：

server {
    listen 80;
    server_name example.com;
    location /api/ {
        proxy_pass http://backend-server:8080/;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
    location / {
        root /var/www/frontend;
        try_files $uri $uri/ /index.html;
    }
}

此方案将前后端部署在相同域名下，从根本上避免跨域问题。优势包括：

减少网络传输环节
便于统一管理SSL证书
适合传统单体架构迁移

四、生产环境安全配置要点

源白名单管理：通过配置中心动态管理允许的源列表
CSRF防护：跨域场景下需额外配置CSRF令牌验证
请求头过滤：限制允许的自定义头，防止恶意注入
HTTPS强制：确保所有跨域请求通过加密通道传输
日志监控：记录跨域请求来源，便于异常排查

五、常见问题排查指南

预检请求失败：检查服务端是否正确响应OPTIONS方法
凭证未传递：确认前后端同时配置了withCredentials和allowCredentials
复杂请求拦截：检查是否包含自定义头或非简单方法
缓存问题：浏览器可能缓存错误的CORS响应，尝试无痕模式测试
Nginx配置冲突：检查是否有其他location规则覆盖了代理配置

六、进阶方案探讨

对于复杂分布式系统，可考虑：

API网关统一处理：在网关层实现跨域配置，减少后端服务负担
服务发现集成：结合服务注册中心动态获取允许的源列表
自定义CORS过滤器：实现更细粒度的权限控制逻辑

通过系统掌握这些解决方案，开发者能够根据实际场景选择最优实现方式。在面试场景中，除技术实现细节外，还应展现对安全配置、性能影响等维度的思考，体现架构设计能力。建议结合具体项目经验，说明如何平衡开发效率与安全要求，这是区分初级与高级开发者的关键指标。

SpringBoot跨域问题深度解析：从原理到实战解决方案