跨域(CORS)問題的解決方案分享

2023-02-14 06:03:16

前後端分離專案，如何解決跨域問題

跨域資源共用（CORS）是前後端分離專案很常見的問題，本文主要介紹當SpringBoot應用整合SpringSecurity以後如何解決該問題。

什麼是跨域問題

CORS全稱Cross-Origin Resource Sharing，意為跨域資源共用。當一個資源去存取另一個不同域名或者同域名不同埠的資源時，就會發出跨域請求。如果此時另一個資源不允許其進行跨域資源存取，那麼存取的那個資源就會遇到跨域問題。

跨域問題演示及解決

我們使用mall專案的原始碼來演示一下跨域問題。此時前端程式碼執行在8090埠上，後端程式碼執行在8080埠上，由於其域名都是localhost，但是前端和後端執行埠不一致，此時前端存取後端介面時，就會產生跨域問題。

點選前端登入按鈕

此時發現呼叫登入介面時出現跨域問題。

覆蓋預設的CorsFilter來解決該問題

新增GlobalCorsConfig組態檔來允許跨域存取。

package com.macro.mall.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

/**
 * 全域性跨域設定
 * Created by macro on 2019/7/27.
 */
@Configuration
public class GlobalCorsConfig {

    /**
     * 允許跨域呼叫的過濾器
     */
    @Bean
    public CorsFilter corsFilter() {
        CorsConfiguration config = new CorsConfiguration();
        //允許所有域名進行跨域呼叫
        config.addAllowedOrigin("*");
        //允許跨越傳送cookie
        config.setAllowCredentials(true);
        //放行全部原始頭資訊
        config.addAllowedHeader("*");
        //允許所有請求方法跨域呼叫
        config.addAllowedMethod("*");
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

或者使用這個設定類

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOriginPatterns("*")
                .allowCredentials(true)
                .allowedMethods("GET", "POST", "DELETE", "PUT", "PATCH")
                .maxAge(3600);
    }

}

重新執行程式碼，點選登入按鈕

發現需要登入認證的/admin/info介面的OPTIONS請求無法通過認證，那是因為複雜的跨越請求需要先進行一次OPTIONS請求進行預檢，我們的應用整合了SpringSecurity，對OPTIONS請求並沒有放開登入認證。

設定SpringSecurity允許OPTIONS請求存取

在SecurityConfig類的configure(HttpSecurity httpSecurity)方法中新增如下程式碼。

.antMatchers(HttpMethod.OPTIONS)//跨域請求會先進行一次options請求
.permitAll()

重新執行程式碼，點選登入按鈕

發現已經可以正常存取。

一次完整的跨域請求

先發起一次OPTIONS請求進行預檢

請求頭資訊：

Access-Control-Request-Headers: content-type
Access-Control-Request-Method: POST
Origin: http://localhost:8090
Referer: http://localhost:8090/
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36

響應頭資訊：

Access-Control-Allow-Credentials: true
Access-Control-Allow-Headers: content-type
Access-Control-Allow-Methods: POST
Access-Control-Allow-Origin: http://localhost:8090
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Content-Length: 0
Date: Sat, 27 Jul 2019 13:40:32 GMT
Expires: 0
Pragma: no-cache
Vary: Origin, Access-Control-Request-Method, Access-Control-Request-Headers
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block

請求成功返回狀態碼為200

發起真實的跨域請求

請求頭資訊：

Accept: application/json, text/plain
Content-Type: application/json;charset=UTF-8
Origin: http://localhost:8090
Referer: http://localhost:8090/
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36
{username: "admin", password: "123456"}
password: "123456"
username: "admin"

響應頭資訊：

Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: http://localhost:8090
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Content-Type: application/json;charset=UTF-8
Date: Sat, 27 Jul 2019 13:40:32 GMT
Expires: 0
Pragma: no-cache
Transfer-Encoding: chunked
Vary: Origin, Access-Control-Request-Method, Access-Control-Request-Headers
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block