tomcat中的CORS Filter

Dear 丶 2022-05-21 11:30 149阅读 0赞

本文为tomcat-8.5的CORS Filter的官网翻译。

## 1 介绍 ##

CORS Filter过滤器是W3C的CORS（跨源资源共享）规范的一种实现，它是跨源请求的机制。  
该过滤器的工作原理是将所需的Access-Control- \*标头添加到HttpServletResponse对象。 该过滤器还可以防止HTTP响应分裂。 如果请求无效或不被允许，则使用HTTP状态代码403（禁止）拒绝请求。 可以使用此过滤器演示请求处理的流程图。  
使用此过滤器所需的最小配置是：

<filter>
      <filter-name>CorsFilter</filter-name>
      <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
    </filter>
    <filter-mapping>
      <filter-name>CorsFilter</filter-name>
      <url-pattern>/*</url-pattern>
    </filter-mapping>

## 2 过滤类名称 ##

CORS过滤器的过滤器类名是org.apache.catalina.filters.CorsFilter。

## 3 初始化参数 ##

CORS过滤器支持以下初始化参数：

<table> 
 <thead> 
  <tr> 
   <th>属性</th> 
   <th align="right">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>cors.allowed.origins</td> 
   <td align="right">允许访问资源的源列表。 可以指定A *以允许从任何源访问资源。 否则，可以提供逗号分隔的起源白名单。 例如：http：//www.w3.org,https：//www.apache.org。 默认值：空字符串。 （不允许原点访问资源）。</td> 
  </tr> 
  <tr> 
   <td>cors.allowed.methods</td> 
   <td align="right">以逗号分隔的HTTP方法列表，可使用跨源请求来访问资源。 这些方法也将作为飞行前响应中的Access-Control-Allow-Methods标题的一部分包含在内。 例如：GET，POST。 默认值：GET，POST，HEAD，OPTIONS</td> 
  </tr> 
  <tr> 
   <td>cors.allowed.headers</td> 
   <td align="right">以逗号分隔的请求标头列表，可在发出实际请求时使用。 这些标头也将作为飞行前响应中的Access-Control-Allow-Headers标头的一部分返回。 例如：Origin，Accept。 默认值：Origin，Accept，X-Requested-With，Content-Type，Access-Control-Request-Method，Access-Control-Request-Headers</td> 
  </tr> 
  <tr> 
   <td>cors.exposed.headers</td> 
   <td align="right">除了允许浏览器访问的简单响应标头之外的逗号分隔标头列表。 这些标题也将作为飞行前响应中的Access-Control-Expose-Headers标题的一部分包含在内。 例如：X-CUSTOM-HEADER-PING，X-CUSTOM-HEADER-PONG。 默认值：无。 默认情况下不会公开非简单标头。</td> 
  </tr> 
  <tr> 
   <td>cors.preflight.maxage</td> 
   <td align="right">允许浏览器缓存飞行前请求的结果的秒数。 这将作为飞行前响应中的Access-Control-Max-Age标头的一部分包含在内。 负值将阻止CORS过滤器将此响应标头添加到飞行前响应中。 默认值：1800</td> 
  </tr> 
  <tr> 
   <td>cors.support.credentials</td> 
   <td align="right">一个标志，指示资源是否支持用户凭据。 此标志在飞行前响应中作为Access-Control-Allow-Credentials标头的一部分公开。 它有助于浏览器确定是否可以使用凭据进行实际请求。 默认值：false</td> 
  </tr> 
  <tr> 
   <td>cors.request.decorate</td> 
   <td align="right">用于控制是否应将CORS特定属性添加到HttpServletRequest对象的标志。 默认值：true</td> 
  </tr> 
 </tbody> 
</table>

以下是更高级配置的示例，它覆盖默认值：

<filter>
      <filter-name>CorsFilter</filter-name>
      <filter-class>org.apache.catalina.filters.CorsFilter</filter-class>
      <init-param>
        <param-name>cors.allowed.origins</param-name>
        <param-value>*</param-value>
      </init-param>
      <init-param>
        <param-name>cors.allowed.methods</param-name>
        <param-value>GET,POST,HEAD,OPTIONS,PUT</param-value>
      </init-param>
      <init-param>
        <param-name>cors.allowed.headers</param-name>
        <param-value>Content-Type,X-Requested-With,accept,Origin,Access-Control-Request-Method,Access-Control-Request-Headers</param-value>
      </init-param>
      <init-param>
        <param-name>cors.exposed.headers</param-name>
        <param-value>Access-Control-Allow-Origin,Access-Control-Allow-Credentials</param-value>
      </init-param>
      <init-param>
        <param-name>cors.support.credentials</param-name>
        <param-value>true</param-value>
      </init-param>
      <init-param>
        <param-name>cors.preflight.maxage</param-name>
        <param-value>10</param-value>
      </init-param>
    </filter>
    <filter-mapping>
      <filter-name>CorsFilter</filter-name>
      <url-pattern>/*</url-pattern> </filter-mapping>

## 4 CORS Filter和HttpServletRequest属性 ##

CORS Filter在HttpServletRequest对象中添加有关请求的信息，以供下游消费使用。 如果cors.request.decorate initialisation参数为true，则设置以下属性：

1.  **cors.isCorsRequest**：用于确定请求是否为CORS请求的标志。
2.  **cors.request.origin**：Origin URL，即发出请求的页面的URL。
3.  **cors.request.type**：CORS请求的类型。 可能的值：
    
     *  简单：不在飞行前请求之前的请求。
     *  ACTUAL：一个请求，前面是一个飞行前请求。
     *  PRE\_FLIGHT：飞行前请求。
     *  NOT\_CORS：普通的同源请求。
     *  INVALID\_CORS：跨域请求，无效。

4.**cors.request.headers**：请求标头作为Access-Control-Request-Headers标头发送，用于飞行前请求。