迁移到Spring Boot 2.0.x时全局CORS配置中断

Question

为什么在Spring Boot 2.0.x（我的情况是2.0.1.release）下，我的“Access-Control-Allow-Credentials”不再被发送以响应飞行前调用（选项）？下面是我的全局CORS配置，它在Spring Boot 1.5.6下运行良好：

@Configuration
public class CorsConfig {

@Bean
public WebMvcConfigurer corsConfigurer() {
    return new WebMvcConfigurerAdapter() {
        @Override
        public void addCorsMappings(CorsRegistry registry) {
            registry.addMapping("/**")
                    .allowedOrigins(
                        "http://localhost:3000",..)
                    .allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD");
        }
    };
}}

我的pom依赖项（我正在做我自己的安全和避免Spring Security）：

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-actuator</artifactId>
    </dependency>

对REST终结点的服务调用失败：

加载http：//localhost:8080/api/v5/sec/auth失败：对预飞行请求的响应未通过访问控制检查：响应中“access-control-allow-credentials”标头的值为“”，当请求的凭据模式为“include”时，该值必须为“true”。因此，不允许访问源“http：//localhost:3000”。

我已经验证了'access-control-allow-credentials'头在Spring Boot 1.5.6中确实存在，而在Spring Boot 2.0.1中丢失了。

我能找到的所有文档，包括这里关于Spring.io的最新文档，都表明我的全局配置仍然是正确的，即使WebMvcConfigurerAdapter现在似乎不推荐使用。

更新：

迁移前（Spring Boot 1.5.6):

access-control-allow-credentials：true
access-control-allow-origin：http：//localhost:3000
content-type：application/json；charset=utf-8
date：Day,dd Mon yyyy hh：mm：ss GMT
transfer-encoding：chunked
vary：Origin

迁移后（Spring Boot 2.0.1-Access-Control-Allow-Credentials头部丢失，但其他头部已更改/添加）：

access-control-allow-headers：content-type
access-control-allow-methods：GET,HEAD,POST<---忽略我指定的方法
access-control-allow-origin:*<---忽略我指定的origin:
access-control-max-age:1800
content-length：0
日期：Day,dd Mon yyyy hh：mm：ss gmt
vary：origin
vary：access-control-request-method

Answer 1

这在Spring文档和许多示例中是缺失的，但答案非常简单。我刚刚在CorsRegistry上看到了allowCredentials（）方法，并将.allowCredentials（true）添加到注册表方法链中，并将Access-Control-Allow-Credentials头添加回。

另外，我不再使用不推荐使用的WebMvcConfigurerAdapter，而是现在实现WebMVCConfigureer并重写addCorsMappings（）方法。

@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {

        registry.addMapping("/**")
                .allowedOrigins(
                        "http://localhost:3000",..)
                .allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD")
                .allowCredentials(true)
        ;
    }

}