其实跟springboot版本没关系，这是cors跨域的机制。
当设置了allowCredentials=true的时候，服务器端响应的Access-Control-Allow-Origin头，它的值不能是*，必须要明确的指定出客户端的origin。
关于这个机制，你可以看看这个，末尾有写
你也可以考虑不使用注解，而是使用Filter来实现跨域