文件导入导出等可能涉及到Access-Control-Allow-Credentials，即告知浏览器请求的响应可以暴露给前端js代码。所以光用注解就不行了。
解决方法：增加一个corsFilter拦截器（名字自己起），在拦截器中，给响应response响应头中设置以上的属性为true即可，注意这个属性为true，allow-origin就不能设置为*需要具体的源。如下：
res.setHeader("Access-Control-Allow-Credentials",true);
res.setHeader("Access-Control-Allow-Origin",req.getHeader("origin"));