Spring Cloud Gateway的跨域配置与安全头部管理

Spring Cloud Gateway的跨域配置与安全头部管理：从踩坑到优雅实践

大家好，作为一名长期奋战在微服务一线的开发者，我深知API网关在系统架构中的核心地位。Spring Cloud Gateway作为Spring Cloud生态的官方网关，其灵活性和性能都相当出色。但在实际部署中，跨域（CORS）问题和安全响应头缺失，往往是前端同学联调时抛来的第一个“锅”，也是安全扫描报告里的“常客”。今天，我就结合自己的实战和踩坑经历，来详细聊聊如何在Spring Cloud Gateway中优雅地解决这两个问题。

一、为什么网关需要统一处理CORS和安全头？

在微服务架构下，让每个下游服务各自处理CORS和设置安全头部，不仅重复劳动，更容易出现遗漏和配置不一致，徒增维护成本。网关作为所有外部请求的入口，在这里进行统一处理是最合理、最有效的方案。这就像小区的门卫，统一检查健康码（CORS）并提醒大家戴好口罩（安全头），而不是让每家每户自己来做。

二、实战：两种方式配置全局CORS

跨域问题本质是浏览器出于安全考虑实施的同源策略限制。在Spring Cloud Gateway中，我们通常采用配置化方式全局解决。

方式一：通过application.yml配置文件（推荐）

这是最简洁、最常用的方式。在网关服务的 `application.yml` 中，添加如下配置：

spring:
  cloud:
    gateway:
      globalcors:
        cors-configurations:
          '[/**]': # 匹配所有路由
            allowed-origins: 
              - "https://www.yourdomain.com"
              - "http://localhost:8080" # 开发环境可配置本地前端地址
            allowed-methods:
              - GET
              - POST
              - PUT
              - DELETE
              - OPTIONS # 处理预检请求，必须包含
            allowed-headers: "*" # 允许所有请求头，可根据实际情况细化，如"Authorization", "Content-Type"
            allow-credentials: true # 允许携带Cookie等凭证，如果为true，则allowed-origins不能为"*"
            max-age: 3600 # 预检请求结果缓存时间（秒）

踩坑提示：这里有个大坑！如果你设置了 `allow-credentials: true`（前端需要传cookie或认证信息），那么 `allowed-origins` 就不能配置成通配符 `"*"`，必须明确列出具体域名，否则浏览器会拦截请求。这是我早期调试时耗费了半小时才发现的细节。

方式二：通过Java配置类

如果你需要更动态、更复杂的CORS逻辑（例如从数据库读取允许的源），可以通过 `@Configuration` 配置类实现。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.reactive.CorsWebFilter;
import org.springframework.web.cors.reactive.UrlBasedCorsConfigurationSource;

@Configuration
public class GlobalCorsConfig {
    
    @Bean
    public CorsWebFilter corsWebFilter() {
        CorsConfiguration config = new CorsConfiguration();
        // 允许的源，生产环境建议从配置中心读取
        config.addAllowedOrigin("https://www.yourdomain.com");
        config.addAllowedOrigin("http://localhost:8080");
        // 允许的方法
        config.addAllowedMethod("*");
        // 允许的请求头
        config.addAllowedHeader("*");
        // 允许携带凭证
        config.setAllowCredentials(true);
        // 预检请求缓存时间
        config.setMaxAge(3600L);
        
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        
        return new CorsWebFilter(source);
    }
}

两种方式任选其一即可，配置文件的方式更直观，代码配置的方式更灵活。

三、核心：加强网关安全头部管理

光解决跨域还不够，一个安全的HTTP响应必须包含一系列安全头部，以抵御诸如点击劫持、MIME类型嗅探、XSS等常见攻击。Spring Cloud Gateway提供了 `DefaultFilters` 机制，可以让我们轻松地为所有路由添加统一的过滤器。

spring:
  cloud:
    gateway:
      default-filters:
        - DedupeResponseHeader=Access-Control-Allow-Origin Access-Control-Allow-Credentials # 去重CORS头，避免下游服务也设置导致冲突
        - name: SecureHeaders # 自定义过滤器，见下方Java代码

上面配置中引用了一个自定义过滤器 `SecureHeaders`，它的作用是注入一系列安全头。我们来编写这个过滤器：

import org.springframework.cloud.gateway.filter.GatewayFilter;
import org.springframework.cloud.gateway.filter.factory.AbstractGatewayFilterFactory;
import org.springframework.http.HttpHeaders;
import org.springframework.stereotype.Component;
import reactor.core.publisher.Mono;

import java.util.HashMap;
import java.util.Map;

@Component
public class SecureHeadersGatewayFilterFactory extends AbstractGatewayFilterFactory