• 注解@CrossOrigin解决跨域问题


    阅读正文:


    原文链接:https://www.mmzsblog.cn/articles/2019/08/23/1566526598886.html

    注解@CrossOrigin

      出于安全原因,浏览器禁止Ajax调用驻留在当前原点之外的资源。例如,当你在一个标签中检查你的银行账户时,你可以在另一个选项卡上拥有EVILL网站。来自EVILL的脚本不能够对你的银行API做出Ajax请求(从你的帐户中取出钱!)使用您的凭据。

      跨源资源共享(CORS)是由大多数浏览器实现的W3C规范,允许您灵活地指定什么样的跨域请求被授权,而不是使用一些不太安全和不太强大的策略,如IFRAME或JSONP。

    一、跨域(CORS)支持:

      Spring Framework 4.2 GA为CORS提供了第一类支持,使您比通常的基于过滤器的解决方案更容易和更强大地配置它。所以springMVC的版本要在4.2或以上版本才支持@CrossOrigin

    二、使用方法:

    1、controller配置CORS

    1.1、controller方法的CORS配置,您可以向@RequestMapping注解处理程序方法添加一个@CrossOrigin注解,以便启用CORS(默认情况下,@CrossOrigin允许在@RequestMapping注解中指定的所有源和HTTP方法):

    复制代码
    @RestController
    @RequestMapping("/account")
    public class AccountController {
    
    @CrossOrigin
    @GetMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }

    @DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }
    }

    复制代码

    其中@CrossOrigin中的2个参数:

    origins  : 允许可访问的域列表

    maxAge:准备响应前的缓存持续的最大时间(以秒为单位)。

    1.2、为整个controller启用@CrossOrigin

    复制代码
    @CrossOrigin(origins = "http://domain2.com", maxAge = 3600)
    @RestController
    @RequestMapping("/account")
    public class AccountController {
    
    @GetMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }

    @DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }
    }

    复制代码

    在这个例子中,对于retrieve()和remove()处理方法都启用了跨域支持,还可以看到如何使用@CrossOrigin属性定制CORS配置。

    1.3、同时使用controller和方法级别的CORS配置,Spring将合并两个注释属性以创建合并的CORS配置。

    复制代码
    @CrossOrigin(maxAge = 3600)
    @RestController
    @RequestMapping("/account")
    public class AccountController {
    
    @CrossOrigin(origins </span>= "http://domain2.com"<span style="color: #000000;">)
    @GetMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }

    @DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
    </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>
    

    }
    }

    复制代码

    1.4、如果您正在使用Spring Security,请确保在Spring安全级别启用CORS,并允许它利用Spring MVC级别定义的配置。

    复制代码
    @EnableWebSecurity
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    </span><span style="color: #0000ff;">protected</span> <span style="color: #0000ff;">void</span> configure(HttpSecurity http) <span style="color: #0000ff;">throws</span><span style="color: #000000;"> Exception {
        http.cors().and()...
    }
    

    }

    复制代码

    2、全局CORS配置

      除了细粒度、基于注释的配置之外,您还可能需要定义一些全局CORS配置。这类似于使用筛选器,但可以声明为Spring MVC并结合细粒度@CrossOrigin配置。默认情况下,所有origins and GET, HEAD and POST methods是允许的。

    JavaConfig

    使整个应用程序的CORS简化为:

    复制代码
    @Configuration
    @EnableWebMvc
    public class WebConfig extends WebMvcConfigurerAdapter {
    
    @Override
    </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> addCorsMappings(CorsRegistry registry) {
        registry.addMapping(</span>"/**"<span style="color: #000000;">);
    }
    

    }

    复制代码

    如果您正在使用Spring Boot,建议将WebMvcConfigurer bean声明如下:

    复制代码
    @Configuration
    public class MyConfiguration {
    
    @Bean
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> WebMvcConfigurer corsConfigurer() {
        </span><span style="color: #0000ff;">return</span> <span style="color: #0000ff;">new</span><span style="color: #000000;"> WebMvcConfigurerAdapter() {
            @Override
            </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> addCorsMappings(CorsRegistry registry) {
                registry.addMapping(</span>"/**"<span style="color: #000000;">);
            }
        };
    }
    

    }

    复制代码

    您可以轻松地更改任何属性,以及仅将此CORS配置应用到特定的路径模式:

    复制代码
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
            .allowedOrigins("http://domain2.com")
            .allowedMethods("PUT", "DELETE")
                .allowedHeaders("header1", "header2", "header3")
            .exposedHeaders("header1", "header2")
            .allowCredentials(false).maxAge(3600);
    }
    复制代码

    如果您正在使用Spring Security,请确保在Spring安全级别启用CORS,并允许它利用Spring MVC级别定义的配置。

    3、XML命名空间

    还可以将CORS与MVC XML命名空间配置。

    a、如果整个项目所有方法都可以访问,则可以这样配置;此最小XML配置使CORS在/**路径模式具有与JavaConfig相同的缺省属性:

    <mvc:cors>
        <mvc:mapping path="/**" />
    </mvc:cors>

    其中* 表示匹配到下一层;** 表示后面不管有多少层,都能匹配。

    如:

    <mvc:cors>  
        <mvc:mapping path="/api/*"/>  
    </mvc:cors>  

    这个可以匹配到的路径有:

    /api/aaa

    /api/bbbb

    不能匹配的:

    /api/aaa/bbb

    因为* 只能匹配到下一层路径,如果想后面不管多少层都可以匹配,配置如下:

    <mvc:cors>  
        <mvc:mapping path="/api/**"/>  
    </mvc:cors>  

    注:其实就是一个(*)变成两个(**)

    b、也可以用定制属性声明几个CORS映射:

    复制代码
    <mvc:cors>
    
    &lt;mvc:mapping path="/api/**"<span style="color: #000000;">
        allowed</span>-origins="http://domain1.com, http://domain2.com"<span style="color: #000000;">
        allowed</span>-methods="GET, PUT"<span style="color: #000000;">
        allowed</span>-headers="header1, header2, header3"<span style="color: #000000;">
        exposed</span>-headers="header1, header2" allow-credentials="false"<span style="color: #000000;">
        max</span>-age="123" /&gt;
    
    &lt;mvc:mapping path="/resources/**"<span style="color: #000000;">
        allowed</span>-origins="http://domain1.com" /&gt;
    

    </mvc:cors>

    复制代码

    请求路径有/api/,方法示例如下:

    @RequestMapping("/api/crossDomain")  
    @ResponseBody  
    public String crossDomain(HttpServletRequest req, HttpServletResponse res, String name){  
        ……  
        ……  
    } 

    c、如果使用Spring Security,不要忘记在Spring安全级别启用CORS

    <http>
        <!-- Default to Spring MVC's CORS configuration -->
        <cors />
        ...
    </http>

    4、How does it work?

      CORS请求(包括预选的带有选项方法)被自动发送到注册的各种HandlerMapping 。它们处理CORS准备请求并拦截CORS简单和实际请求,这得益于CorsProcessor实现(默认情况下默认DefaultCorsProcessor处理器),以便添加相关的CORS响应头(如Access-Control-Allow-Origin)。 CorsConfiguration 允许您指定CORS请求应该如何处理:允许origins, headers, methods等。

    a、AbstractHandlerMapping#setCorsConfiguration() 允许指定一个映射,其中有几个CorsConfiguration 映射在路径模式上,比如/api/**。

    b、子类可以通过重写AbstractHandlerMapping类的getCorsConfiguration(Object, HttpServletRequest)方法来提供自己的CorsConfiguration。

    c、处理程序可以实现 CorsConfigurationSource接口(如ResourceHttpRequestHandler),以便为每个请求提供一个CorsConfiguration

    5、基于过滤器的CORS支持

      作为上述其他方法的替代,Spring框架还提供了CorsFilter。在这种情况下,不用使用@CrossOrigin或WebMvcConfigurer#addCorsMappings(CorsRegistry),,例如,可以在Spring Boot应用程序中声明如下的过滤器:

    复制代码
    @Configuration
    public class MyConfiguration {
    
    @Bean
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source </span>= <span style="color: #0000ff;">new</span><span style="color: #000000;"> UrlBasedCorsConfigurationSource();
        CorsConfiguration config </span>= <span style="color: #0000ff;">new</span><span style="color: #000000;"> CorsConfiguration();
        config.setAllowCredentials(</span><span style="color: #0000ff;">true</span><span style="color: #000000;">);
        config.addAllowedOrigin(</span>"http://domain1.com"<span style="color: #000000;">);
        config.addAllowedHeader(</span>"*"<span style="color: #000000;">);
        config.addAllowedMethod(</span>"*"<span style="color: #000000;">);
        source.registerCorsConfiguration(</span>"/**"<span style="color: #000000;">, config);
        FilterRegistrationBean bean </span>= <span style="color: #0000ff;">new</span> FilterRegistrationBean(<span style="color: #0000ff;">new</span><span style="color: #000000;"> CorsFilter(source));
        bean.setOrder(</span>0<span style="color: #000000;">);
        </span><span style="color: #0000ff;">return</span><span style="color: #000000;"> bean;
    }
    

    }

    复制代码

    三、spring注解@CrossOrigin不起作用的原因

    1、是springMVC的版本要在4.2或以上版本才支持@CrossOrigin

    2、非@CrossOrigin没有解决跨域请求问题,而是不正确的请求导致无法得到预期的响应,导致浏览器端提示跨域问题。

    3、在Controller注解上方添加@CrossOrigin注解后,仍然出现跨域问题,解决方案之一就是:

    在@RequestMapping注解中没有指定Get、Post方式,具体指定后,问题解决。

    类似代码如下:

    复制代码
    @CrossOrigin
    @RestController
    public class person{
    
    @RequestMapping(method </span>=<span style="color: #000000;"> RequestMethod.GET)
    </span><span style="color: #0000ff;">public</span><span style="color: #000000;"> String add() {
        </span><span style="color: #008000;">//</span><span style="color: #008000;"> 若干代码</span>
    

    }
    }

    复制代码

    四、参考文章:

    1、官方文档https://spring.io/blog/2015/06/08/cors-support-in-spring-framework

    2、http://fanshuyao.iteye.com/blog/2384189

    2、https://blog.csdn.net/taiyangnimeide/article/details/78305131

    3、https://blog.csdn.net/snowin1994/article/details/53035433




    作者:淼淼之森
    欢迎任何形式的转载,但请务必注明出处。
    如果你觉得本文还可以,那就点击一下推荐,让更多人看到吧!
    限于本人水平,如果文章和代码有表述不当之处,还请不吝赐教。

  • 相关阅读:
    [LeetCode] Find Minimum in Rotated Sorted Array
    [LeetCode] Sort Colors
    [LeetCode] Invert Binary Tree
    最小的k个数
    连续子数组最大和
    [LeetCode] Majority Element
    [LeetCode] Reverse Linked List
    [LeetCode] Lowest Common Ancestor of a Binary Search Tree
    [LeetCode] Kth Smallest Element in a BST
    三种方式控制GPIO
  • 原文地址:https://www.cnblogs.com/jpfss/p/12192132.html
走看看 - 开发者的网上家园