vue axios + spring boot + spring security 跨域问题

1. 问题概述：

spring cloud config server, 做成数据库保存配置信息，然后有一堆删除改查的controller。

那么现在比如有这样一个/service/applications的RestController, 正常可以访问。

 

后来为了安全，加上了

spring:
  security:
    basic:
      enabled: true
    user:
      name: user
      password: password

然后在postman， 加上Authorization头， 访问也成功

可是，然后可是，到了axios， 就是各种不成功：

 

2. 原因：

浏览器会先发一个OPTIONS请求， 在这个请求里，会去掉Authorizaiton: Basic ....的头。这个和axios无关。

而spring cloud config server, 因为加上认证, 所以引入了spring security. 导致OPTIONS请求不成功。所以要对spring security进行配置，让它可以通过这个OPTIONS请求。

 

3. 解决方法：

所以除了要有以下配置:

@Configuration
public class CorsConfig { 
    
    private CorsConfiguration buildConfig() {
        CorsConfiguration corsConfiguration = new CorsConfiguration(); 
        corsConfiguration.addAllowedOrigin("*"); 
        corsConfiguration.addAllowedHeader("*"); 
        corsConfiguration.addAllowedMethod("*"); 
        corsConfiguration.setAllowCredentials(true);
        return corsConfiguration; 
    } 
    
    @Bean 
    public CorsFilter corsFilter() { 
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource(); 
        source.registerCorsConfiguration("/**", buildConfig()); 
        return new CorsFilter(source); 
    }     
}

还要有：(这个是重点，两个函数二选一即可）

 

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

//	@Override
//	public void configure(HttpSecurity http) throws Exception {
//		http.cors();
//	}

	@Override
	public void configure(WebSecurity web) throws Exception {
		web.ignoring().antMatchers(HttpMethod.OPTIONS, "/**");
	}
}

 

这样就可以了。

 

2019.6.6 再补充一个，这个用的时候没有spring security, 不知道有了spring security会不会不好用。

@Configuration
public class CorsConfig implements WebMvcConfigurer {    // java 8 不用使用 WebMvcConfigurerAdapter, 因为java 8的接口有默认实现，这个是eclipse提示的。
 
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        System.out.println("----------------------");
        registry.addMapping("/**")
                .allowedOrigins("*")
                .allowCredentials(true)
                .allowedMethods("OPTIONS", "GET", "POST", "DELETE", "PUT")
                .maxAge(3600);
    }
}

 

2019.6.16  再补充一个interceptor版本的(因为使用了拦截器，导致上面那种（2019.6.6）配置无效, 这个没有使用spring security）

public class JwtInterceptor extends HandlerInterceptorAdapter {
    
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        
        String origin = request.getHeader("Origin"); 
        response.setHeader("Access-Control-Allow-Origin", origin); 
        response.setHeader("Access-Control-Allow-Methods", "*"); 
        response.setHeader("Access-Control-Allow-Headers","Origin,Content-Type,Accept,token,X-Requested-With"); 
        response.setHeader("Access-Control-Allow-Credentials", "true");
        
        String token = request.getHeader("MyToken");
        if(token == null) {
            throw new UserLoginException("用户未登录");
        }
        
        JwtUtil.checkToken(token);
        
        return true;
    }
    
        
}