CORS 오류 해결 (Spring -> SpringBoot)

 

 

프론트, 백엔드 연결할 때마다 얘를 마주하는 듯 하다. (지긋지긋)

 

백엔드에서 allow해주는 게 국룰이라, GPT가 하라는 대로 백엔드를 이것저것 수정해봤지만...

CORS 가 잡혀도 다른 에러가 터지는 바람에.. 결국 SOS를 쳤고.. 주신 소스로 수정하니까 됨!

 

// SecurtiyConfig.java

 @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    	CookieCsrfTokenRepository cookieCsrfTokenRepository = CookieCsrfTokenRepository.withHttpOnlyFalse();
    	cookieCsrfTokenRepository.setHeaderName("x-xsrf-token");
    	
        http
            .cors(cors -> {})  // 추가
        	.csrf(csrf -> csrf
                .csrfTokenRepository(cookieCsrfTokenRepository)
                .csrfTokenRequestHandler(new CustomCsrfTokenRequestHandler())
            )
			
			

// ServeltConfig.java 맨밑에 추가
@Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("http://localhost:3000")
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .allowedHeaders("*")
                .allowCredentials(true);
    }

 

 

-> SpringBoot로 변경 후 이 방법으로 안 됨. (SpringBoot 3.2.5)

 

http.cors(cors -> {}) 는 실제 CorsConfigurationSource Bean을 요구 → 하지만 WebMvcConfigurer#addCorsMappings만 설정하고, CorsConfigurationSource Bean을 직접 등록하지 않으면 Spring Security는 이 설정을 무시합니다.

그래서 addCorsMappings() 설정은 Spring MVC에서는 동작하지만, Spring Security에서는 http.cors()가 활성화되면서 빈 설정이 필요해짐.

 

GPT는 이렇게 말해줌.

 

그래서, 

// SecurtiyConfig.java
@Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(List.of("http://localhost:3000"));
        configuration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        configuration.setAllowedHeaders(List.of("Content-Type", "Authorization", "X-Requested-With", "x-xsrf-token", "Accept"));
        configuration.setAllowCredentials(true);

        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

 

 @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    	CookieCsrfTokenRepository cookieCsrfTokenRepository = CookieCsrfTokenRepository.withHttpOnlyFalse();
    	cookieCsrfTokenRepository.setHeaderName("x-xsrf-token");
    	
        http
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))  // 변경
        	.csrf(csrf -> csrf
                .csrfTokenRepository(cookieCsrfTokenRepository)
                .csrfTokenRequestHandler(new CustomCsrfTokenRequestHandler())
            )
            
       <생략>
       
}

 

이렇게까지 했는데, 안 되었다. 

 

@Bean
    public WebSecurityCustomizer webSecurityCustomizer() {
        return (web) -> web.ignoring()
                .requestMatchers(
                		"/css/**", 
                		"/fonts/**", 
                		"/img/**", 
                		"/libs/**", 
                		"/app/**", 
                		"/views/**", 
                   //     "/auth/login", 주석처리
                		"/WEB-INF/**"
                );
    }

 

web.ignoring()으로 설정된 경로는 스프링 시큐리티의 필터 체인(CORS 필터 포함)을 완전히 우회합니다.
즉, corsConfigurationSource()에서 정의한 CORS 정책이 /auth/login 경로에는 적용되지 않습니다.

 

그래서 주석처리를 했다! 그랬더니 됐다~~!