Spring Boot 的 CORS

本是古典何须时尚 2023-10-01 17:04 21阅读 0赞

**CORS**（*跨域资源共享*）允许网页从其他域向浏览器请求额外的资源，例如来自 CDN 的字体、CSS 或静态图像。CORS 有助于将来自多个域的 Web 内容提供给通常具有[同源][Link 1]安全策略的浏览器。

学习在方法级别和全局级别在[Spring MVC应用程序中][Spring MVC]**启用 Spring CORS 支持。**

> 阅读更多：[Java CORS 过滤器示例][Java CORS]

目录
    
    1.带有@CrossOrigin的方法级别CORS 
    2.全局CORS配置

### **1. Spring CORS – 使用@CrossOrigin 的方法级别** ###

Spring MVC 提供`@CrossOrigin`注解。此注解将注解的方法或类型标记为允许跨源请求。

**1.1。默认为全部允许**

默认情况下，**@CrossOrigin**允许所有源、所有标头、注释中指定的[HTTP 方法][HTTP]和30 分钟。`@RequestMapping``maxAge`

我们可以通过赋予注释属性值来覆盖默认的 CORS 设置：

<table> 
 <tbody> 
  <tr> 
   <th style="border-color:rgba(0,0,0,.1);"> 
    <div>
      属性 
    </div> </th> 
   <th style="border-color:rgba(0,0,0,.1);"> 
    <div>
      描述 
    </div> </th> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>origins</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      允许的来源列表。它的值放置在 
     <code>Access-Control-Allow-Origin</code>飞行前响应和实际响应的标头中。 
     <br> 
     <code>"*"&nbsp;</code>– 表示允许所有来源。如果 
     <code>undefined</code>，则允许所有来源。 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>allowedHeaders</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      可以在实际请求期间使用的请求标头列表。值用于预检的响应标头 
     <code>Access-Control-Allow-Headers</code>中。 
     <br> 
     <code>"*"&nbsp;</code>– 表示允许客户端请求的所有标头。如果 
     <code>undefined</code>，则允许所有请求的标头。 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>methods</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      支持的 HTTP 请求方法列表。如果未定义， 
     <code>RequestMapping</code>则使用注释定义的方法。 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>exposedHeaders</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      浏览器将允许客户端访问的响应标头列表。值在实际响应标头中设置 
     <code>Access-Control-Expose-Headers</code>。如果 
     <code>undefined</code>，则使用空的公开标头列表。 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>allowCredentials</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      它确定浏览器是否应包含与请求关联的任何 cookie。 
     <ul style="margin-left:3em;"> 
      <li><code>false</code>&nbsp;– 不应包括 cookie。</li> 
      <li><code>" "</code>（空字符串）——表示<em>未定义</em>。</li> 
      <li><code>true</code>– 飞行前响应将包括<code>Access-Control-Allow-Credentials</code>值设置为 true 的标头。</li> 
      <li>如果<code>undefined</code>，则允许凭据。</li> 
     </ul> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div> 
     <code>maxAge</code> 
    </div> </td> 
   <td style="background-color:#ffffff;border-color:rgba(0,0,0,.1);"> 
    <div>
      飞行前响应的缓存持续时间的最长期限（以秒为单位）。值在 header 中设置 
     <code>Access-Control-Max-Age</code>。 
     <br>如果 
     <code>undefined</code>，则最大年龄设置为 1800 秒（30 分钟）。 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**1.2. @CrossOrigin 在类或控制器级别**

<table>  家庭控制器.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@CrossOrigin(origins = </code> 
      <code>"*"</code> 
      <code>, allowedHeaders = </code> 
      <code>"*")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@Controller</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>HomeController </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@GetMapping</code> 
      <code>(path=</code> 
      <code>"/")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>String homeInit(Model model) { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return</code> 
      <code>"home";</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

> 阅读更多[——Spring 5 MVC 示例][Spring 5 MVC]

**1.3. 方法级别的@CrossOrigin**

<table>  家庭控制器.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@Controller</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>HomeController </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@CrossOrigin</code> 
      <code>(origins = </code> 
      <code>"*"</code> 
      <code>, allowedHeaders = </code> 
      <code>"*")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@GetMapping</code> 
      <code>(path=</code> 
      <code>"/")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>String homeInit(Model model) { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return</code> 
      <code>"home";</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**1.4. @CrossOrigin 在方法级别被覆盖**

`homeInit()`方法只能从 domain 访问`http://example.com`。`HomeController`所有域都可以访问其他方法。

<table>  家庭控制器.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@Controller</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@CrossOrigin(origins = </code> 
      <code>"*"</code> 
      <code>, allowedHeaders = </code> 
      <code>"*")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>HomeController </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;</code> 
      <code>@CrossOrigin</code> 
      <code>(origins = </code> 
      <code>"<a href="http://example.com/" title="http://example.com" rel="nofollow">http://example.com</a>"</code> 
      <code>)</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@GetMapping</code> 
      <code>(path=</code> 
      <code>"/")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>String homeInit(Model model) { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return</code> 
      <code>"home";</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

### **2. Spring CORS——全局CORS配置** ###

**2.1。实现 WebMvcConfigurer**

要为整个应用程序启用 CORS，请使用`WebMvcConfigurer`添加`CorsRegistry`.

<table>  CorsConfiguration.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>import</code> 
      <code>org.springframework.context.annotation.Configuration;</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>import</code> 
      <code>org.springframework.web.servlet.config.annotation.CorsRegistry;</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>import</code> 
      <code>org.springframework.web.servlet.config.annotation.EnableWebMvc;</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>import</code> 
      <code>org.springframework.web.servlet.config.annotation.WebMvcConfigurer;</code> 
     </div> 
     <div style="margin-left:0;text-align:left;">
       &nbsp; 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@Configuration</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@EnableWebMvc</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>CorsConfiguration </code> 
      <code>implements</code> 
      <code>WebMvcConfigurer</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@Override</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>void</code> 
      <code>addCorsMappings(CorsRegistry registry) { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;registry.addMapping(</code> 
      <code>"/**")</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;.allowedMethods(</code> 
      <code>"GET"</code> 
      <code>, </code> 
      <code>"POST");</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**2.2. WebMvcConfigurer Bean**

在 Spring Boot 应用程序中，建议只声明一个`WebMvcConfigurer`bean。

<table>  CorsConfiguration.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@Configuration</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>CorsConfiguration </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@Bean</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>WebMvcConfigurer corsConfigurer() </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return</code> 
      <code>new</code> 
      <code>WebMvcConfigurer() { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;@Override</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;public</code> 
      <code>void</code> 
      <code>addCorsMappings(CorsRegistry registry) { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code> 
      <code>registry.addMapping(</code> 
      <code>"/**"</code> 
      <code>).allowedOrigins(</code> 
      <code>"<a href="http://localhost:8080/" title="http://localhost:8080" rel="nofollow">http://localhost:8080</a>"</code> 
      <code>);</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;};</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

**2.3. 带有 Spring Security 的 CORS**

[要通过Spring security][Spring security]启用 CORS 支持，请配置`CorsConfigurationSource`bean 并使用`HttpSecurity.cors()`配置。

<table>  WebSecurityConfig.java  
 <tbody> 
  <tr> 
   <td style="text-align:left;vertical-align:baseline;"> 
    <div style="margin-left:0;text-align:left;"> 
     <div style="margin-left:0;text-align:left;"> 
      <code>@EnableWebSecurity</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>public</code> 
      <code>class</code> 
      <code>WebSecurityConfig </code> 
      <code>extends</code> 
      <code>WebSecurityConfigurerAdapter { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;">
       &nbsp; 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@Override</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;protected</code> 
      <code>void</code> 
      <code>configure(HttpSecurity http) </code> 
      <code>throws</code> 
      <code>Exception { </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http.cors().and()</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//other config</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;">
       &nbsp; 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;@Bean</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;CorsConfigurationSource corsConfigurationSource() </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;{ </code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CorsConfiguration configuration = </code> 
      <code>new</code> 
      <code>CorsConfiguration();</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;</code> 
      <code>configuration.setAllowedOrigins(Arrays.asList(</code> 
      <code>"<a href="https://example.com/" title="https://example.com" rel="nofollow">https://example.com</a>"</code> 
      <code>));</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;configuration.setAllowedMethods(Arrays.asList(</code> 
      <code>"GET"</code> 
      <code>,</code> 
      <code>"POST"));</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;UrlBasedCorsConfigurationSource source = </code> 
      <code>new</code> 
      <code>UrlBasedCorsConfigurationSource();</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;source.registerCorsConfiguration(</code> 
      <code>"/**", configuration);</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return</code> 
      <code>source;</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>&nbsp;&nbsp;&nbsp;&nbsp;}</code> 
     </div> 
     <div style="margin-left:0;text-align:left;"> 
      <code>}</code> 
     </div> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

在评论部分给我你的问题。

快乐学习！！

[源代码下载][Link 2]

[Link 1]: https://en.wikipedia.org/wiki/Same-origin_policy
[Spring MVC]: https://howtodoinjava.com/spring-mvc-tutorial/
[Java CORS]: https://howtodoinjava.com/java/servlets/java-cors-filter-example/
[HTTP]: https://restfulapi.net/http-methods/
[Spring 5 MVC]: https://howtodoinjava.com/spring5/webmvc/spring5-mvc-hibernate5-example/
[Spring security]: https://howtodoinjava.com/spring-security-tutorial/
[Link 2]: https://github.com/lokeshgupta1981/spring-webmvc