springboot跨域配置

我就是我 2022-02-04 20:19 297阅读 0赞

前言：

当它请求的一个资源是从一个与它本身提供的第一个资源的不同的域名时，一个资源会发起一个**跨域**HTTP请求(Cross-site HTTP request)。  
比如说，域名A ( [http://domaina.example][http_domaina.example] ) 的某 Web 应用程序中通过< img>标签引入了域名B( [http://domainb.foo][http_domainb.foo] ) 站点的某图片资源([http://domainb.foo/image.jpg)，域名A的那][http_domainb.foo_image.jpg_A] Web 应用就会导致浏览器发起一个跨站 HTTP 请求。  
在当今的 Web 开发中，使用跨站 HTTP 请求加载各类资源（包括CSS、图片、JavaScript 脚本以及其它类资源），已经成为了一种普遍且流行的方式。  
正如大家所知，出于安全考虑，浏览器会限制脚本中发起的跨站请求。比如，使用[ XMLHttpRequest ][XMLHttpRequest]对象发起 HTTP 请求就必须遵守[同源策略][Link 1]。 具体而言，Web 应用程序能且只能使用 [XMLHttpRequest][]对象向其加载的源域名发起 HTTP 请求，而不能向任何其它域名发起请求。为了能开发出更强大、更丰富、更安全的Web应用程序，开发人员渴望着在不丢失安全的前提下，Web 应用技术能越来越强大、越来越丰富。比如，可以使用 [XMLHttpRequest][]  
发起跨站 HTTP 请求。（**这段描述跨域不准确，跨域并非浏览器限制了发起跨站请求，而是跨站请求可以正常发起，但是返回结果被浏览器拦截了。最好的例子是CSRF跨站攻击原理，请求是发送到了后端服务器无论是否跨域！注意：有些浏览器不允许从HTTPS的域跨域访问HTTP，比如Chrome和Firefox，这些浏览器在请求还未发出的时候就会拦截请求，这是一个特例。**）  
引自：  
[https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Access\_control\_CORS][https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Access_control_CORS]

**方法一：新增一个configration类 或 在Application中加入CorsFilter和CorsConfiguration方法**

![复制代码][copycode.gif]

import org.springframework.context.annotation.Bean;  
    import org.springframework.context.annotation.Configuration;  
    import org.springframework.web.cors.CorsConfiguration;  
    import org.springframework.web.cors.UrlBasedCorsConfigurationSource;  
    import org.springframework.web.filter.CorsFilter;  
      
    @Configuration  
    public class CorsConfig {  
        private CorsConfiguration buildConfig() {  
            CorsConfiguration corsConfiguration = new CorsConfiguration();  
            corsConfiguration.addAllowedOrigin("*"); // 1允许任何域名使用
            corsConfiguration.addAllowedHeader("*"); // 2允许任何头
            corsConfiguration.addAllowedMethod("*"); // 3允许任何方法（post、get等） 
            return corsConfiguration;  
        }  
      
        @Bean  
        public CorsFilter corsFilter() {  
            UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();  
            source.registerCorsConfiguration("/**", buildConfig()); // 4  
            return new CorsFilter(source);  
        }  
    }

![复制代码][copycode.gif]

**方法二：使用Filter方式**

![复制代码][copycode.gif]

import javax.servlet.*;  
    import javax.servlet.http.HttpServletResponse;  
    import java.io.IOException;  
       
    @Component  
    public class CorsFilter implements Filter {  
      
        final static org.slf4j.Logger logger = org.slf4j.LoggerFactory.getLogger(CorsFilter.class);  
     
        public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {  
            HttpServletResponse response = (HttpServletResponse) res;  
            response.setHeader("Access-Control-Allow-Origin", "*");  
            response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE");  
            response.setHeader("Access-Control-Max-Age", "3600");  
            response.setHeader("Access-Control-Allow-Headers", "x-requested-with");  
            System.out.println("*********************************过滤器被使用**************************");  
            chain.doFilter(req, res);  
        }  
        public void init(FilterConfig filterConfig) {}  
        public void destroy() {}  
    }

![复制代码][copycode.gif]

[http_domaina.example]: http://domaina.example/
[http_domainb.foo]: http://domainb.foo/
[http_domainb.foo_image.jpg_A]: http://domainb.foo/image.jpg%29%EF%BC%8C%E5%9F%9F%E5%90%8DA%E7%9A%84%E9%82%A3
[XMLHttpRequest]: https://developer.mozilla.org/en/DOM/XMLHttpRequest
[Link 1]: https://developer.mozilla.org/en/Same_origin_policy_for_JavaScript
[https_developer.mozilla.org_zh-CN_docs_Web_HTTP_Access_control_CORS]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Access_control_CORS
[copycode.gif]: /images/20220205/8e2fc1d614d6487996fd9e329e1a4699.png