springboot解决跨域问题-蒲公英云

跨域问题现象

跨域问题分析

什么是源和跨域

什么是同源策略？

Spring Boot：跨域问题解决

创建一个filter解决跨域
基于WebMvcConfigurerAdapter配置加入Cors的跨域
controller配置CORS

@CrossOrigin不起作用的原因

" class="reference-link">

跨域问题现象

been blocked by CORS policy: No ‘Access-Control-Allow-Origin’ header is present on the requested resource

上面的意思就是你访问一个什么地址被CORS 协议阻止，没有在Hearder 里面发现 Access-Control-Allow-Origin 的参数的资源

跨域问题分析

跨域问题的原因：浏览器出于安全考虑，限制访问本站点以为的资源。

比如你有一个网站 127.0.0.1:8080/ , 并且上面挂了一个页面，那么在这个页面中，你只访问本站点的资源不会受到限制，但是你如果访问其他站点，比如 127.0.0.1:8081 的资源就会受到限制。

备注：暂且把协议，域名，端口都一样的叫做同一个站点。

但是带有 src 属性的标签可以没有这个限制，比如 img ，script 等等。

在说说历史，以前的程序前后端不分离，页面和请求接口，在同一个域名同一个端口下面。所有浏览器认为来源这个站点的页面，请求的是同一个站点的接口，那么久会允许。

比如 127.0.0.1:8080/index.html ,请求 127.0.0.1:8080/a/b/c/userLit 接口，这样是可以的

在说说现在，前后点分离，页面和接口一般不是一个程序，这样就不允许，就会抛出这个异常。

什么是源和跨域

源（origin）就是协议、域名和端口号。
URL由协议、域名、端口和路径组成，如果两个URL的协议、域名和端口全部相同，则表示他们同源。否则，只要协议、域名、端口有任何一个不同，就是跨域。

对https://www.baidu.com/index.html进行跨域比较：

URL	是否跨域	原因
https://www.baidu.com/more/index.html	不跨域	三要素相同
https://map.baidu.com/	跨域	域名不同
http://www.baidu.com/index.html	跨域	协议不同
https://www.baidu.com:81/index.html	跨域	端口号不同

什么是同源策略？

同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。

同源策略又分为以下两种：

DOM同源策略：禁止对不同源页面DOM 进行操作。这里主要场景是iframe跨域的情况，不同域名的iframe是限制互相访问的。
XMLHttpRequest同源策略：禁止使用XHR对象向不同源的服务器地址发起HTTP请求。

Spring Boot：跨域问题解决

1. 创建一个filter解决跨域

项目中前后端分离部署，所以需要解决跨域的问题。我们使用cookie存放用户登录的信息，在spring拦截器进行权限控制，当权限不符合时，直接返回给用户固定的json结果。当用户登录以后，正常使用；当用户退出登录状态时或者token过期时，由于拦截器和跨域的顺序有问题，出现了跨域的现象。我们知道一个http请求，先走filter，到达servlet后才进行拦截器的处理，如果我们把cors放在filter里，就可以优先于权限拦截器执行。

@Configuration
       public 
       class 
       CorsConfig {
      
       @Bean
       public CorsFilter 
       corsFilter
       () {
       CorsConfiguration 
       corsConfiguration 
       = 
       new 
       CorsConfiguration();
              corsConfiguration.addAllowedOrigin(
       "*");
              corsConfiguration.addAllowedHeader(
       "*");
              corsConfiguration.addAllowedMethod(
       "*");
              corsConfiguration.setAllowCredentials(
       true);
       UrlBasedCorsConfigurationSource 
       urlBasedCorsConfigurationSource 
       = 
       new 
       UrlBasedCorsConfigurationSource();
              urlBasedCorsConfigurationSource.registerCorsConfiguration(
       "/**", corsConfiguration);
       return 
       new 
       CorsFilter(urlBasedCorsConfigurationSource);
          }
      
      }

2. 基于WebMvcConfigurerAdapter配置加入Cors的跨域

跨域可以在前端通过 JSONP 来解决，但是 JSONP 只可以发送 GET 请求，无法发送其他类型的请求，在 RESTful 风格的应用中，就显得非常鸡肋，因此我们推荐在后端通过（CORS，Cross-origin resource sharing）来解决跨域问题。这种解决方案并非 Spring Boot 特有的，在传统的 SSM 框架中，就可以通过 CORS 来解决跨域问题，只不过之前我们是在 XML 文件中配置 CORS ，现在可以通过实现WebMvcConfigurer接口然后重写addCorsMappings方法解决跨域问题。

@Configuration
       public 
       class 
       CorsConfig 
       implements 
       WebMvcConfigurer {
      
       @Override
       public 
       void 
       addCorsMappings
       (CorsRegistry registry) {
              registry.addMapping(
       "/**")
                      .allowedOrigins(
       "*")
                      .allowCredentials(
       true)
                      .allowedMethods(
       "GET", 
       "POST", 
       "PUT", 
       "DELETE", 
       "OPTIONS")
                      .maxAge(
       3600);
          }
      
      }

3. controller配置CORS

controller方法的CORS配置，您可以向@RequestMapping注解处理程序方法添加一个@CrossOrigin注解，以便启用CORS（默认情况下，@CrossOrigin允许在@RequestMapping注解中指定的所有源和HTTP方法）：

@RestController
       @RequestMapping("/account")
       public 
       class 
       AccountController {
       @CrossOrigin
       @GetMapping("/{id}")
       public Account 
       retrieve
       (@PathVariable Long id) {
       // ...
          }
       @DeleteMapping("/{id}")
       public 
       void 
       remove
       (@PathVariable Long id) {
       // ...
          }
      }

其中@CrossOrigin中的参数：

@CrossOrigin 表示所有的URL均可访问此资源 @CrossOrigin(origins = “http://127.0.0.1:8080”)//表示只允许这一个url可以跨域访问这个controller 代码说明：@CrossOrigin这个注解用起来很方便，这个可以用在方法上，也可以用在类上。如果你不设置他的value属性，或者是origins属性，就默认是可以允许所有的URL/域访问。

value属性可以设置多个URL。
origins属性也可以设置多个URL。
maxAge属性指定了准备响应前的缓存持续的最大时间。就是探测请求的有效期。
allowCredentials属性表示用户是否可以发送、处理 cookie。默认为false
allowedHeaders 属性表示允许的请求头部有哪些。
methods 属性表示允许请求的方法，默认get，post，head。

@CrossOrigin不起作用的原因

1、是springMVC的版本要在4.2或以上版本才支持@CrossOrigin

2、非@CrossOrigin没有解决跨域请求问题，而是不正确的请求导致无法得到预期的响应，导致浏览器端提示跨域问题。

3、在Controller注解上方添加@CrossOrigin注解后，仍然出现跨域问题，解决方案之一就是：

在@RequestMapping注解中没有指定Get、Post方式，具体指定后，问题解决。

类似代码如下：

@CrossOrigin
       @RestController
       public 
       class 
       person{
       @RequestMapping(method = RequestMethod.GET)
       public String 
       add
       () {
       // 若干代码
          }
      }