Spring Boot-CORS

什么是跨域？

定义：浏览器从一个域名的网页取请求另一个域名下的东西。通俗点说，浏览器直接从A域访问B域中的资源是不被允许的，如果想要访问，就需要进行一步操作，这操作就叫“跨域”。例如，你从百度的页面，点击一个按钮，请求了新浪的一个接口，这就进行了跨域。不单单只有域名不同就是跨域，域名、端口、协议其一不同就是不同的域，请求资源需要跨域。

为什么要跨域？

为什么需要跨域，而不直接访问其他域下的资源呢？这是浏览器的限制，专业点说叫浏览器同源策略限制。主要是为了安全考虑。现在的安全框架，一般请求的时候header中不是都存个token嘛，你要是用这个token去正常访问A域下的东西是没问题的，然后又去访问了B域，结果阴差阳错的还带着这个token，那么B域，或者说B网站是不是就可以拿着你的token去A域下做点什么呢，这就相当危险了。所以浏览器加上了所谓的浏览器同源策略限制。但是为了我们真的需要从A域下访问B的资源（正常访问），就需要用到跨域，跨越这个限制了。

SpringBoot解决跨域问题

SpringBoot可以基于Cors解决跨域问题，Cors是一种机制，告诉我们的后台，哪边（origin ）来的请求可以访问服务器的数据。

全局配置

配置实例如下：

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126


 @Configuration
 public class CorsConfig {
     @Bean
     public WebMvcConfigurer corsConfigurer(){
         return new WebMvcConfigurer(){
             @Override
             public void addCorsMappings(CorsRegistry registry){
                 registry.addMapping("/**")
                         .allowedOrigins("*")
                         .allowedMethods("POST", "GET", "PUT", "OPTIONS", "DELETE")
                         .allowCredentials(true)
                         .maxAge(3600);
             }
         };
     }
 }
 public class CorsRegistry {
 
    private final List<CorsRegistration> registrations = new ArrayList<>();
 
    public CorsRegistration addMapping(String pathPattern) {
       CorsRegistration registration = new CorsRegistration(pathPattern);
       this.registrations.add(registration);
       return registration;
    }
    
    protected Map<String, CorsConfiguration> getCorsConfigurations() {
       Map<String, CorsConfiguration> configs = new LinkedHashMap<>(this.registrations.size());
       for (CorsRegistration registration : this.registrations) {
          configs.put(registration.getPathPattern(), registration.getCorsConfiguration());
       }
       return configs;
    }
 }
 public class CorsRegistration {
     //传入的路径
    private final String pathPattern;
     //配置信息实体类
    private final CorsConfiguration config;
     //构造方法
    public CorsRegistration(String pathPattern) {
       this.pathPattern = pathPattern;
       //原生注释看到了一个 @CrossOrigin 这个注解，待会看看是什么
       // Same implicit default values as the @CrossOrigin annotation + allows simple methods
       this.config = new CorsConfiguration().applyPermitDefaultValues();
    }
     //允许哪些源网站访问，默认所有
    public CorsRegistration allowedOrigins(String... origins) {
       this.config.setAllowedOrigins(Arrays.asList(origins));
       return this;
    }
     //允许何种方式访问，默认简单方式，即：GET，HEAD，POST
    public CorsRegistration allowedMethods(String... methods) {
       this.config.setAllowedMethods(Arrays.asList(methods));
       return this;
    }
     //设置访问header，默认所有
    public CorsRegistration allowedHeaders(String... headers) {
       this.config.setAllowedHeaders(Arrays.asList(headers));
       return this;
    }
     //设置response headers，默认没有（什么都不设置）
    public CorsRegistration exposedHeaders(String... headers) {
       this.config.setExposedHeaders(Arrays.asList(headers));
       return this;
    }
     //是否浏览器应该发送credentials，例如cookies Access-Control-Allow-Credentials
    public CorsRegistration allowCredentials(boolean allowCredentials) {
       this.config.setAllowCredentials(allowCredentials);
       return this;
    }
     //设置等待时间，默认1800秒
    public CorsRegistration maxAge(long maxAge) {
       this.config.setMaxAge(maxAge);
       return this;
    }
 
    protected String getPathPattern() {
       return this.pathPattern;
    }
 
    protected CorsConfiguration getCorsConfiguration() {
       return this.config;
    }
 
 }
 @Target({ ElementType.METHOD, ElementType.TYPE })
 @Retention(RetentionPolicy.RUNTIME)
 @Documented
 public @interface CrossOrigin {
 
    /** @deprecated as of Spring 5.0, in favor of {@link CorsConfiguration#applyPermitDefaultValues} */
    @Deprecated
    String[] DEFAULT_ORIGINS = { "*" };
 
    /** @deprecated as of Spring 5.0, in favor of {@link CorsConfiguration#applyPermitDefaultValues} */
    @Deprecated
    String[] DEFAULT_ALLOWED_HEADERS = { "*" };
 
    /** @deprecated as of Spring 5.0, in favor of {@link CorsConfiguration#applyPermitDefaultValues} */
    @Deprecated
    boolean DEFAULT_ALLOW_CREDENTIALS = false;
 
    /** @deprecated as of Spring 5.0, in favor of {@link CorsConfiguration#applyPermitDefaultValues} */
    @Deprecated
    long DEFAULT_MAX_AGE = 1800
 
    /**
     * Alias for {@link #origins}.
     */
    @AliasFor("origins")
    String[] value() default {};
 
    @AliasFor("value")
    String[] origins() default {};
 
    String[] allowedHeaders() default {};
 
    String[] exposedHeaders() default {};
 
    RequestMethod[] methods() default {};
 
    String allowCredentials() default "";
 
    long maxAge() default -1;
 }

这个注解可以作用于方法或者类上，实现局部跨域，你会发现除了设置路径（因为没必要了，都定位到局部了）其他的参数与全局类似。

在Controller上加入@CrossOrigin注解

局部配置

可以看出CorsRegistry有个属性registrations ，按道理可以根据不同的项目路径进行定制访问行为，但是我们示例直接将pathPattern 设置为/**，也就是说已覆盖项目所有路径，只需要创建一个CorsRegistration就好。getCorsConfigurations(),这个方法是获取所有CorsConfiguration的Map集合，key值为传入路径pathPattern。回到示例代码CorsConfig中，registry对象addMapping()增加完传入路径pathPattern之后，return了一个CorsRegistration对象，是进行更多的配置，看一下CorsRegistration的代码，看看我们能配些什么？

CorsRegistry的源码

首先实现了WebMvcConfigurer接口，WebMvcConfigurer这个接口十分强大，里面还有很多可用的方法，在SpringBoot2.0里面可以解决WebMvcConfigurerAdapter曾经的部分任务。其中一个方法就是addCorsMappings()，是专门为开发人员解决跨域而诞生的接口。其中构造参数为CorsRegistry。

Spring Boot-CORS#

什么是跨域？#

为什么要跨域？#

SpringBoot解决跨域问题#

全局配置#

局部配置#

CorsRegistry的源码#