注解@CrossOrigin解決跨域問題

本文轉載自查看原文 2020-01-14 15:10 1294 通用實踐/ 跨域/ 開發經驗/ java經驗集錦/ SpringMVC/ http/ 工作總結/ Spring

閱讀目錄：

一、跨域(CORS)支持：
二、使用方法：
三、spring注解@CrossOrigin不起作用的原因
四、參考文章：

閱讀正文：

原文鏈接：https://www.mmzsblog.cn/articles/2019/08/23/1566526598886.html

注解@CrossOrigin

　　出於安全原因，瀏覽器禁止Ajax調用駐留在當前原點之外的資源。例如，當你在一個標簽中檢查你的銀行賬戶時，你可以在另一個選項卡上擁有EVILL網站。來自EVILL的腳本不能夠對你的銀行API做出Ajax請求（從你的帳戶中取出錢！）使用您的憑據。

　　跨源資源共享（CORS）是由大多數瀏覽器實現的W3C規范，允許您靈活地指定什么樣的跨域請求被授權，而不是使用一些不太安全和不太強大的策略，如IFRAME或JSONP。

回到頂部

一、跨域(CORS)支持：

　　Spring Framework 4.2 GA為CORS提供了第一類支持，使您比通常的基於過濾器的解決方案更容易和更強大地配置它。所以springMVC的版本要在4.2或以上版本才支持@CrossOrigin

回到頂部

二、使用方法：

1、controller配置CORS

1.1、controller方法的CORS配置，您可以向@RequestMapping注解處理程序方法添加一個@CrossOrigin注解，以便啟用CORS（默認情況下，@CrossOrigin允許在@RequestMapping注解中指定的所有源和HTTP方法）：

@RestController
@RequestMapping("/account")
public class AccountController {
@CrossOrigin
@GetMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
@DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
 }

其中@CrossOrigin中的2個參數：

origins ：允許可訪問的域列表

maxAge：准備響應前的緩存持續的最大時間（以秒為單位）。

1.2、為整個controller啟用@CrossOrigin

@CrossOrigin(origins = "http://domain2.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {
@GetMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
@DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
 }

在這個例子中，對於retrieve()和remove()處理方法都啟用了跨域支持，還可以看到如何使用@CrossOrigin屬性定制CORS配置。

1.3、同時使用controller和方法級別的CORS配置，Spring將合並兩個注釋屬性以創建合並的CORS配置。

@CrossOrigin(maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {
@CrossOrigin(origins </span>= "http://domain2.com"<span style="color: #000000;">)
@GetMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> Account retrieve(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
@DeleteMapping(</span>"/{id}"<span style="color: #000000;">)
</span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> remove(@PathVariable Long id) {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> ...</span>

 }
 }

1.4、如果您正在使用Spring Security，請確保在Spring安全級別啟用CORS，並允許它利用Spring MVC級別定義的配置。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
</span><span style="color: #0000ff;">protected</span> <span style="color: #0000ff;">void</span> configure(HttpSecurity http) <span style="color: #0000ff;">throws</span><span style="color: #000000;"> Exception {
    http.cors().and()...
}

}

2、全局CORS配置

　　除了細粒度、基於注釋的配置之外，您還可能需要定義一些全局CORS配置。這類似於使用篩選器，但可以聲明為Spring MVC並結合細粒度@CrossOrigin配置。默認情況下，所有origins and GET, HEAD and POST methods是允許的。

JavaConfig

使整個應用程序的CORS簡化為：

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {
@Override
</span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> addCorsMappings(CorsRegistry registry) {
    registry.addMapping(</span>"/**"<span style="color: #000000;">);
}

}

如果您正在使用Spring Boot，建議將WebMvcConfigurer bean聲明如下：

@Configuration
public class MyConfiguration {
@Bean
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> WebMvcConfigurer corsConfigurer() {
    </span><span style="color: #0000ff;">return</span> <span style="color: #0000ff;">new</span><span style="color: #000000;"> WebMvcConfigurerAdapter() {
        @Override
        </span><span style="color: #0000ff;">public</span> <span style="color: #0000ff;">void</span><span style="color: #000000;"> addCorsMappings(CorsRegistry registry) {
            registry.addMapping(</span>"/**"<span style="color: #000000;">);
        }
    };
}

}

您可以輕松地更改任何屬性，以及僅將此CORS配置應用到特定的路徑模式：

@Override
public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/api/**")
        .allowedOrigins("http://domain2.com")
        .allowedMethods("PUT", "DELETE")
            .allowedHeaders("header1", "header2", "header3")
        .exposedHeaders("header1", "header2")
        .allowCredentials(false).maxAge(3600);
}

如果您正在使用Spring Security，請確保在Spring安全級別啟用CORS，並允許它利用Spring MVC級別定義的配置。

3、XML命名空間

還可以將CORS與MVC XML命名空間配置。

a、如果整個項目所有方法都可以訪問，則可以這樣配置；此最小XML配置使CORS在/**路徑模式具有與JavaConfig相同的缺省屬性：

<mvc:cors>
    <mvc:mapping path="/**" />
</mvc:cors>

其中* 表示匹配到下一層；** 表示后面不管有多少層，都能匹配。

如：

<mvc:cors>  
    <mvc:mapping path="/api/*"/>  
</mvc:cors>

這個可以匹配到的路徑有：

/api/aaa

/api/bbbb

不能匹配的：

/api/aaa/bbb

因為* 只能匹配到下一層路徑，如果想后面不管多少層都可以匹配，配置如下：

<mvc:cors>  
    <mvc:mapping path="/api/**"/>  
</mvc:cors>

注：其實就是一個(*)變成兩個(**)

b、也可以用定制屬性聲明幾個CORS映射：

<mvc:cors>
&lt;mvc:mapping path="/api/**"<span style="color: #000000;">
    allowed</span>-origins="http://domain1.com, http://domain2.com"<span style="color: #000000;">
    allowed</span>-methods="GET, PUT"<span style="color: #000000;">
    allowed</span>-headers="header1, header2, header3"<span style="color: #000000;">
    exposed</span>-headers="header1, header2" allow-credentials="false"<span style="color: #000000;">
    max</span>-age="123" /&gt;

&lt;mvc:mapping path="/resources/**"<span style="color: #000000;">
    allowed</span>-origins="http://domain1.com" /&gt;

</mvc:cors>

請求路徑有/api/，方法示例如下：

@RequestMapping("/api/crossDomain")  
@ResponseBody  
public String crossDomain(HttpServletRequest req, HttpServletResponse res, String name){  
    ……  
    ……  
}

c、如果使用Spring Security，不要忘記在Spring安全級別啟用CORS：

<http>
    <!-- Default to Spring MVC's CORS configuration -->
    <cors />
    ...
</http>

4、How does it work?

　　CORS請求（包括預選的帶有選項方法）被自動發送到注冊的各種HandlerMapping 。它們處理CORS准備請求並攔截CORS簡單和實際請求，這得益於CorsProcessor實現（默認情況下默認DefaultCorsProcessor處理器），以便添加相關的CORS響應頭（如Access-Control-Allow-Origin）。 CorsConfiguration 允許您指定CORS請求應該如何處理：允許origins, headers, methods等。

a、AbstractHandlerMapping#setCorsConfiguration() 允許指定一個映射，其中有幾個CorsConfiguration 映射在路徑模式上，比如/api/**。

b、子類可以通過重寫AbstractHandlerMapping類的getCorsConfiguration(Object, HttpServletRequest)方法來提供自己的CorsConfiguration。

c、處理程序可以實現 CorsConfigurationSource接口（如ResourceHttpRequestHandler），以便為每個請求提供一個CorsConfiguration。

5、基於過濾器的CORS支持

　　作為上述其他方法的替代，Spring框架還提供了CorsFilter。在這種情況下，不用使用@CrossOrigin或WebMvcConfigurer#addCorsMappings(CorsRegistry),，例如，可以在Spring Boot應用程序中聲明如下的過濾器：

@Configuration
public class MyConfiguration {
@Bean
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> FilterRegistrationBean corsFilter() {
    UrlBasedCorsConfigurationSource source </span>= <span style="color: #0000ff;">new</span><span style="color: #000000;"> UrlBasedCorsConfigurationSource();
    CorsConfiguration config </span>= <span style="color: #0000ff;">new</span><span style="color: #000000;"> CorsConfiguration();
    config.setAllowCredentials(</span><span style="color: #0000ff;">true</span><span style="color: #000000;">);
    config.addAllowedOrigin(</span>"http://domain1.com"<span style="color: #000000;">);
    config.addAllowedHeader(</span>"*"<span style="color: #000000;">);
    config.addAllowedMethod(</span>"*"<span style="color: #000000;">);
    source.registerCorsConfiguration(</span>"/**"<span style="color: #000000;">, config);
    FilterRegistrationBean bean </span>= <span style="color: #0000ff;">new</span> FilterRegistrationBean(<span style="color: #0000ff;">new</span><span style="color: #000000;"> CorsFilter(source));
    bean.setOrder(</span>0<span style="color: #000000;">);
    </span><span style="color: #0000ff;">return</span><span style="color: #000000;"> bean;
}

}

回到頂部

三、spring注解@CrossOrigin不起作用的原因

1、是springMVC的版本要在4.2或以上版本才支持@CrossOrigin

2、非@CrossOrigin沒有解決跨域請求問題，而是不正確的請求導致無法得到預期的響應，導致瀏覽器端提示跨域問題。

3、在Controller注解上方添加@CrossOrigin注解后，仍然出現跨域問題，解決方案之一就是：

在@RequestMapping注解中沒有指定Get、Post方式，具體指定后，問題解決。

類似代碼如下：

@CrossOrigin
@RestController
public class person{
@RequestMapping(method </span>=<span style="color: #000000;"> RequestMethod.GET)
</span><span style="color: #0000ff;">public</span><span style="color: #000000;"> String add() {
    </span><span style="color: #008000;">//</span><span style="color: #008000;"> 若干代碼</span>

 }
 }

回到頂部

四、參考文章：

1、官方文檔https://spring.io/blog/2015/06/08/cors-support-in-spring-framework

2、http://fanshuyao.iteye.com/blog/2384189

2、https://blog.csdn.net/taiyangnimeide/article/details/78305131

3、https://blog.csdn.net/snowin1994/article/details/53035433

作者：淼淼之森
歡迎任何形式的轉載，但請務必注明出處。
如果你覺得本文還可以，那就點擊一下推薦，讓更多人看到吧！
限於本人水平，如果文章和代碼有表述不當之處，還請不吝賜教。

免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。

猜您在找 注解@CrossOrigin解決跨域問題注解@CrossOrigin解決跨域問題 springboot 使用 CorsConfig 和注解，解決跨域問題解決跨域問題什么是跨域，Nginx解決跨域問題什么是跨域？怎么解決跨域問題？什么是跨域？如何解決跨域問題？ springboot攔截器導致@CrossOrigin跨域失效 nginx解決跨域問題后端解決跨域的問題