局外狗1. 淘宝闪购SPS系统与跨域接口开发背景
淘宝闪购作为电商平台的高频交易场景，其SPS（Seckill Promotion System）系统需要处理瞬时爆发的用户请求。在这种高并发环境下，前端页面往往需要从多个子域名或第三方服务获取数据，这就产生了典型的跨域问题。
跨域问题本质是浏览器同源策略（Same-Origin Policy）的限制。当JavaScript尝试从一个源（协议+域名+端口）向另一个源发起请求时，浏览器会阻止这种交互。在SPS系统中，常见的跨域场景包括：
- 主站页面（taobao.com）需要调用库存服务（inventory.taobao.com）
- 促销活动页（promotion.taobao.com）需要调用用户服务（user.tmall.com）
- 前端需要接入第三方支付或物流查询接口
提示：同源策略是浏览器的安全机制，服务器之间的通信不受此限制。这就是为什么Postman能正常调用的接口，在浏览器中却可能失败。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Java后端解决跨域问题的核心方案
2.1 CORS（跨域资源共享）标准方案
CORS是W3C标准，也是目前最主流的跨域解决方案。其核心思想是通过HTTP头部让服务器声明哪些外部源被允许访问资源。在Spring Boot中实现CORS有三种典型方式：
- 全局配置（推荐用于SPS这类统一管理的系统）：
java复制@Configuration
public class CorsConfig implements WebMvcConfigurer {
@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/**")
.allowedOrigins("https://taobao.com", "https://tmall.com")
.allowedMethods("GET", "POST", "PUT")
.allowCredentials(true)
.maxAge(3600);
}
}
- 控制器注解（适用于特定接口）：
java复制@RestController
@RequestMapping("/api")
@CrossOrigin(origins = "https://promotion.taobao.com")
public class FlashSaleController {
// 控制器方法
}
- 过滤器方式（最灵活但需要手动处理）：
java复制public class CorsFilter implements Filter {
@Override
public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
throws IOException, ServletException {
HttpServletResponse response = (HttpServletResponse) res;
response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Access-Control-Allow-Methods", "POST, GET");
chain.doFilter(req, res);
}
}
踩坑提醒：当使用allowCredentials(true)允许携带cookie时，allowedOrigins不能为"*"，必须明确指定域名。这是淘宝登录态保持必须注意的点。
2.2 JSONP方案及其局限性
JSONP是利用<script>标签不受同源策略限制的特性实现的跨域方案。虽然现在较少使用，但在某些特殊场景仍有价值：
java复制@GetMapping("/getStock")
public void getStock(@RequestParam String callback, HttpServletResponse response) {
String data = "{\"skuId\":123,\"stock\":100}";
response.setContentType("application/javascript");
response.getWriter().write(callback + "(" + data + ")");
}
前端调用方式：
html复制<script>
function handleResponse(data) {
console.log(data.stock);
}
</script>
<script src="https://inventory.taobao.com/getStock?callback=handleResponse"></script>
JSONP的三大局限：
- 仅支持GET请求（不适合提交订单等POST操作）
- 缺乏错误处理机制（无法使用HTTP状态码）
- 存在XSS风险（需严格校验callback参数）
2.3 代理服务器方案
在淘宝架构中，常通过Nginx反向代理解决跨域问题。这种方案的优势在于：
- 对前端透明，无需修改代码
- 可以集中管理跨域策略
- 能实现负载均衡和缓存
典型Nginx配置：
nginx复制location /api/ {
proxy_pass http://backend-service/;
add_header 'Access-Control-Allow-Origin' 'https://taobao.com';
add_header 'Access-Control-Allow-Methods' 'GET, POST';
# 处理预检请求
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=utf-8';
add_header 'Content-Length' 0;
return 204;
}
}
3. 淘宝SPS系统中的特殊实践
3.1 预检请求（Preflight）优化
对于复杂请求（如Content-Type为application/json的POST），浏览器会先发送OPTIONS预检请求。在高并发的闪购场景下，这会造成额外开销。淘宝的优化方案：
- 减少预检请求次数：
java复制// 设置较长的maxAge
response.setHeader("Access-Control-Max-Age", "86400");
- 合并简单请求：
java复制// 统一使用x-www-form-urlencoded而非json
@PostMapping(consumes = MediaType.APPLICATION_FORM_URLENCODED_VALUE)
3.2 跨域缓存策略
针对商品详情等不变数据，淘宝采用版本化缓存：
java复制@GetMapping("/product/{id}")
@ResponseBody
public Product getProduct(@PathVariable String id,
@RequestHeader("If-None-Match") String etag) {
Product product = productService.getById(id);
String currentEtag = "v" + product.getVersion();
if (currentEtag.equals(etag)) {
return ResponseEntity.notModified().build();
}
return ResponseEntity.ok()
.eTag(currentEtag)
.body(product);
}
3.3 安全防护措施
- CSRF防御结合跨域方案：
java复制// 生成并返回CSRF Token
@GetMapping("/csrf-token")
@CrossOrigin(origins = "https://taobao.com", allowCredentials = true)
public CsrfToken csrfToken(CsrfToken token) {
return token;
}
- 细粒度的Origin校验：
java复制private boolean isValidOrigin(String origin) {
List<String> allowed = Arrays.asList(
"https://taobao.com",
"https://promotion.taobao.com"
);
return allowed.contains(origin);
}
4. 高并发场景下的性能调优
4.1 连接池优化
淘宝SPS系统使用自定义的HTTP连接池管理跨域请求：
java复制@Bean
public HttpClient httpClient() {
return HttpClient.create()
.option(ChannelOption.CONNECT_TIMEOUT_MILLIS, 5000)
.responseTimeout(Duration.ofMillis(5000))
.doOnConnected(conn ->
conn.addHandlerLast(new ReadTimeoutHandler(5000, TimeUnit.MILLISECONDS))
);
}
4.2 异步非阻塞处理
使用WebFlux实现非阻塞跨域接口：
java复制@RestController
public class AsyncController {
@GetMapping("/async-data")
public Mono<String> getAsyncData() {
return WebClient.create()
.get()
.uri("http://inventory-service/stock")
.retrieve()
.bodyToMono(String.class);
}
}
4.3 熔断降级策略
为跨域依赖服务配置熔断：
java复制@Bean
public Customizer<ReactiveResilience4JCircuitBreakerFactory> defaultCustomizer() {
return factory -> factory.configureDefault(id -> new Resilience4JConfigBuilder(id)
.circuitBreakerConfig(CircuitBreakerConfig.custom()
.failureRateThreshold(50)
.waitDurationInOpenState(Duration.ofMillis(1000))
.build())
.build());
}
5. 监控与排查体系
5.1 跨域请求监控
通过Filter记录跨域请求指标：
java复制public class MetricsFilter implements Filter {
private final MeterRegistry meterRegistry;
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) {
long start = System.currentTimeMillis();
try {
chain.doFilter(request, response);
String origin = ((HttpServletRequest) request).getHeader("Origin");
meterRegistry.timer("cors.requests", "origin", origin)
.record(System.currentTimeMillis() - start, TimeUnit.MILLISECONDS);
} catch (Exception e) {
meterRegistry.counter("cors.errors").increment();
}
}
}
5.2 常见问题排查清单
-
预检请求失败：
- 检查OPTIONS方法是否允许
- 确认Headers是否在Access-Control-Allow-Headers中列出
-
Cookie未携带：
java复制// 前端需要设置 fetch(url, { credentials: 'include' }) // 后端需要配置 .allowCredentials(true) -
缓存问题：
- 清空浏览器缓存测试
- 检查Cache-Control头部设置
-
HTTPS与HTTP混合问题：
- 确保所有资源使用相同协议
- 升级不安全的HTTP请求
在淘宝SPS系统的实际运行中，我们发现跨域问题90%以上是由于配置不一致导致的。建议建立标准的CORS配置中心，所有服务统一从这里获取配置，避免各服务实现差异带来的问题。