014-Spring MVC处理CORS跨域

014-Spring MVC处理CORS跨域 Spring MVC中处理CORS跨域

Spring MVC中处理CORS跨域有如下几种方式

1. @CrossOrigin（注解）
2. CorsRegistry（全局配置）
3. SpringMVC拦截器
4. 实现Filter接口

编写axios异步请求

当然JQuery或直接AJAX请求也可以

编写test.html文件如下：

    
    
    




CORS请求

点击下载axios.min.js文件

编写测试Controller

package com.yyoo.springmvc.controller;

import com.yyoo.springmvc.bean.MyResponse;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("demo6")
public class Demo6Controller {

    @RequestMapping("checkCors")
    public MyResponse checkCors(){
        return MyResponse.success("CORS请求成功!");
    }

}

测试请求

如图，我们在没有进行任何的跨域处理时，点击CORS请求按钮后会有两个请求发送，而且都有错误，而且它们的状态也不一样。第一个就是“预检”请求，第二个才是实际的请求。关于请求的状态以及相关的http知识不是我们本章的讨论内容。接下来我们来通过以上几种方式来处理跨域问题。

@CrossOrigin（注解）解决跨域

package com.yyoo.springmvc.controller;

import com.yyoo.springmvc.bean.MyResponse;
import org.springframework.web.bind.annotation.CrossOrigin;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("demo6")
public class Demo6Controller {

    @RequestMapping("checkCors")
    @CrossOrigin
    public MyResponse checkCors(){
        return MyResponse.success("CORS请求成功!");
    }

}

可见@CrossOrigin注解方式十分简单，在对应的方法上加上该注解即可。@CrossOrigin注解也可以作用在类上，让该类下的请求方法都支持跨域。

@CrossOrigin注解也可以设置对应的参数，直接查看源码即可了解。

package org.springframework.web.bind.annotation;

import java.lang.annotation.documented;
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;
import java.util.List;

import org.springframework.core.annotation.AliasFor;
import org.springframework.web.cors.CorsConfiguration;

@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
@documented
public @interface CrossOrigin {

	
	@AliasFor("origins")
	String[] value() default {};

	
	@AliasFor("value")
	String[] origins() default {};

	
	String[] originPatterns() default {};

	
	String[] allowedHeaders() default {};

	
	String[] exposedHeaders() default {};

	
	RequestMethod[] methods() default {};

	
	String allowCredentials() default "";

	
	long maxAge() default -1;

}

CorsRegistry（全局配置）解决跨域

@CrossOrigin注解方式简单，但如果我们需要为我们的应用设置一个全局的CORS配置，@CrossOrigin就不太方便了。这时候我们可以通过CorsRegistry来配置

@Configuration
@EnableWebMvc
public class WebConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {

        registry.addMapping("/demo6/**")
                .allowedOrigins("*")
                .allowedMethods("GET", "OPTIONS","POST")
                .allowCredentials(false).maxAge(3600);

        // 还能添加更多的 mappings...
    }
}

WebMvcConfigurer：我们添加的大部分配置都用到了它，目前为止我们用他添加过类型转换器、拦截器、以及现在的CORS全局配置。

SpringMVC 拦截器解决跨域

package com.yyoo.springmvc.interceptor;

import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class MyInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        response.addHeader("Access-Control-Allow-Origin", "*");
        // 允许请求携带cookie
        response.setHeader("Access-Control-Allow-Credentials", "false");
        response.addHeader("Access-Control-Max-Age","86400");
        // 响应类型
        response.addHeader("Access-Control-Allow-Methods", "GET,POST,DELETE,PUT,OPTIONS");
        // 响应头设置
        response.addHeader("Access-Control-Allow-Headers", "Content-Type, X-Requested-With, X-authentication, X-client, X-Token, X_Requested_With");
        return true;
    }
}

此方式在我们需要携带cookie的时候比较有用，因为携带cookie的时候需要Access-Control-Allow-Credentials为true，而且Access-Control-Allow-Origin不能为*（具体请查看上一篇文章：CORS跨域介绍）。如果我们需要运行跨域的请求Origin有多个怎么办？或者我们后端根本不知道Origin的值，需要每次从请求头中获取比对怎么办？在拦截器中或过滤器中我们就可以使用request对象进行一些编码来实现。

package com.yyoo.springmvc.interceptor;

import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.ArrayList;
import java.util.List;

public class MyInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 指定允许其他域名访问,Access-Control-Allow-Credentials为true时，该值不能为*
        String origin = request.getHeader("origin");
        if(origin != null && checkOrigin(origin)) {
            response.addHeader("Access-Control-Allow-Origin", origin);
        }
        // 允许请求携带cookie
        response.setHeader("Access-Control-Allow-Credentials", "true");

        response.addHeader("Access-Control-Max-Age","86400");
        // 响应类型
        response.addHeader("Access-Control-Allow-Methods", "GET,POST,DELETE,PUT,OPTIONS");
        // 响应头设置
        response.addHeader("Access-Control-Allow-Headers", "Content-Type, X-Requested-With, X-authentication, X-client, X-Token, X_Requested_With");

        return true;
    }


    private boolean checkOrigin(String origin){
        List originList = new ArrayList<>();
        originList.add("http://localhost:8090");
        originList.add("http://localhost:9090");
        // ...

        for(String o : originList){
            if(o.contains(origin)){
                return true;
            }
        }
        return false;
    }
}

过滤器解决跨域问题

@Component
public class CorsFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        HttpServletRequest request = (HttpServletRequest) servletRequest;

        // String origin = request.getHeader("Origin");
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "GET,POST,DELETE,PUT,OPTIONS");
        response.setHeader("Access-Control-Max-Age", "86400");
        // 为true时Access-Control-Allow-Origin不能为*
        response.setHeader("Access-Control-Allow-Credentials", "false");
        // 此处为允许请求携带的所以请求头，如果要限制，可自行定义
        response.setHeader("Access-Control-Allow-Headers", request.getHeader("Access-Control-Request-Headers"));
        filterChain.doFilter(request, response);
    }

    @Override
    public void destroy() {

    }
}

注：在使用shiro的时候拦截器或者其他方式无法解决跨域的问题，这个时候使用过滤器可以解决。（具体可以参考shiro使用token认证）

上一篇：CORS跨域介绍
下一篇：待续