SpringMvc CORS跨域设置

基于安全的考虑， W3C 规范规定浏览器禁止访问不同域(origin)的资源，目前绝大部分浏览器遵循这一规范，从而衍生出了跨域资源共享 ( CORS )问题，相比于 IFRAME 或 JSONP ， CORS 更全面并且更安全， Spring Mvc 为我们提供了一套多粒度的CORS解决方案。

关于 CORS 的介绍，主要参考文章 《Cross-Origin Resource Sharing (CORS)》

CORS 的工作原理是添加新的 HTTP headers 来让服务器描述哪些源的请求可以访问该资源，对于可能对服务器造成不好影响的请求，规范规定浏览器需要先发送“预检”请求（也就是 OPTION 请求），在预检请求通过后再发送实际的请求，服务器还可以通知客户端是否应该随请求发送“凭据”（例如 Cookie 和 HTTP 身份验证），更详细的介绍可以参考上面的文章，本文主要讨论 Spring Mvc 对 CORS 的支持。

需要注意的是：

不需要发送”预检“请求

可以看见 @CrossOrigin 注解可以标注在类或者方法上，其中几个常量如 DEFAULT_ORIGINS 已经在Spring 5.0弃用，取而代之的是 CorsConfiguration#applyPermitDefaultValues 方法。

标注在类上，该类的所有方法均会生效

同时也可以类和方法结合使用

@CrossOrigin 注解比较适用于较细粒度的跨域控制，对于全局的跨域控制， Spring Mvc 提供了 Global Configuration 配置。

Spring Mvc 对于全局的 CORS 比较简单，分为两个方案

创建 WebConfig 类实现 WebMvcConfigurer 接口，通过 CorsRegistry 设置跨域信息

通过 CorsConfiguration 设置跨域信息，并将 CorsConfiguration 通过 CorsFilter 构造函数传递进去

Spring Mvc 对于 CORS 可以说是非常方便，本文主要是想让各位开发者对跨域有个整体的了解，各个参数代表的含义，而不是在所有项目中都一概而论的设置为“*”，要在自身项目的实际需求以及安全性上多做思考，防止生产事故。

原文连接： 原文地址

跨域的详细介绍可以参考： 浏览器和服务器实现跨域(CORS)判定的原理 ，这里不多赘述。

1、主要就是客户端向发送了服务端请求，服务器已经能返回数据，但是浏览器不接收

2、在接口里面加上：( 因为request是处理请求，response是返回结果 )

response.setHeader("Access-Control-Allow-Origin", "*")

response.setHeader("Cache-Control","no-cache") 

3、如果是使用Spring Boot创建的项目，直接添加 一句注解 到controller和方法就可以了：

@CrossOrigin

其中@CrossOrigin中的2个参数：

origins  ： 允许可访问的域列表

maxAge ：准备响应前的缓存持续的最大时间（以秒为单位）。

在这个例子中，对于retrieve()和remove()处理方法都启用了跨域支持，还可以看到如何使用@CrossOrigin属性定制CORS配置。如果同时使用controller和方法级别的CORS配置，Spring将合并两个注释属性以创建合并的CORS配置。

4、如果您正在使用Spring Security，请确保在Spring安全级别启用CORS，并允许它利用Spring MVC级别定义的配置。

二、全局CORS配置

除了细粒度、基于注释的配置之外，您还可能需要定义一些全局CORS配置。这类似于使用筛选器，但可以声明为Spring MVC并结合细粒度@CrossOrigin配置。默认情况下，所有origins and GET, HEAD and POST methods是允许的。

JavaConfig

使整个应用程序的CORS简化为：

更多使用请看原文连接和官方文档

---