Spring Security CORS不工作

Spring Security CORS是Spring Security框架中用于处理跨域资源共享（Cross-Origin Resource Sharing，CORS）的功能。它允许在不同域之间共享资源，以便前端应用程序可以从不同的域请求数据。

CORS是一种浏览器机制，用于限制跨域请求的安全性。当浏览器发起跨域请求时，会先发送一个预检请求（OPTIONS请求），以确定服务器是否允许该跨域请求。如果服务器返回的响应中包含合适的CORS头部信息，浏览器才会继续发送实际的跨域请求。

Spring Security提供了一些配置选项来处理CORS。以下是一些常见的配置选项：

allowedOrigins：允许的源（域）列表。可以使用通配符（例如*）来表示允许来自任何域的请求。
allowedMethods：允许的HTTP方法列表。常见的方法包括GET、POST、PUT、DELETE等。
allowedHeaders：允许的请求头列表。可以包括自定义的请求头。
exposedHeaders：允许暴露给客户端的响应头列表。
allowCredentials：是否允许发送身份凭证（如Cookie）。
maxAge：预检请求的最大缓存时间，以秒为单位。

以下是一个示例配置，展示了如何在Spring Security中启用CORS：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .cors()
                .and()
            // 其他配置...
    }
    
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("http://example.com"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        configuration.setAllowedHeaders(Arrays.asList("Authorization", "Content-Type"));
        configuration.setExposedHeaders(Arrays.asList("Authorization"));
        configuration.setAllowCredentials(true);
        configuration.setMaxAge(3600L);
        
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

在上述示例中，我们通过cors()方法启用了CORS支持，并通过corsConfigurationSource()方法配置了CORS的具体参数。

Spring Security CORS的应用场景包括但不限于以下情况：