SpringSecurity5（11-跨域配置）

北冰洋以北  论坛元老 | 2025-3-26 09:05:11 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 1988|帖子 1988|积分 5964

SpringBoot跨域处理

@CrossOrigin（局部跨域）


  • 作用在方法上
  1. @RestController
  2. public class IndexController {
  4.     @CrossOrigin(value = "http://localhost:8082")
  5.     @GetMapping("/hello")
  6.     public String hello() {
  7.         return "get hello";
  8.     }
  10.     @CrossOrigin(value = "http://localhost:8082")
  11.     @PostMapping("/hello")
  12.     public String hello2() {
  13.         return "post hello";
  14.     }
  15. }
复制代码

  • 作用在类上
  1. @CrossOrigin(origins = "http://example.com", maxAge = 3600)
  2. @RestController
  3. @RequestMapping("/account")
  4. public class AccountController {
  6.     @RequestMapping(method = RequestMethod.GET, path = "/{id}")
  7.     public Account retrieve(@PathVariable Long id) {
  8.         // ...
  9.     }
  11.     @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
  12.     public void remove(@PathVariable Long id) {
  13.         // ...
  14.     }
  15. }
复制代码
WebMvcConfigurer（全局跨域）
  1. @Configuration
  2. public class WebMvcConfig implements WebMvcConfigurer {
  4.     @Override
  5.     public void addCorsMappings(CorsRegistry registry) {
  6.         registry.addMapping("/**")
  7.                 .allowedHeaders("Content-Type","X-Requested-With","accept,Origin","Access-Control-Request-Method","Access-Control-Request-Headers","token")
  8.                 .allowedMethods("*")
  9.                 .allowedOrigins("*")
  10.                 .allowCredentials(true);
  11.     }
  12. }
复制代码
SpringSecurity跨域处理

跨域配置详解

如果利用了 Spring Security，上面的跨域配置会失效，因为请求被 Spring Security 拦截了
在项目中利用 Spring Security，我们必须采取额外的步骤确保它与 CORS 协作精良。这是因为 CORS 需要首先处理，否则，Spring Security 会在请求到达 Spring MVC 之前将其拒绝
  1. @Configuration
  2. public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
  4.     @Override
  5.     protected void configure(HttpSecurity http) throws Exception {
  6.         http.cors().and()...
  7.     }
  8. }
复制代码
可以配置 CORS 以覆盖默认的 Spring Security CORS 处理器。为此，我们需要添加一个 CorsConfigurationSource Bean，利用 CorsConfiguration 实例来处理 CORS 配置。如果添加了 CorsFilter Bean，http.cors() 方法就会利用 CorsFilter，否则就会利用 CorsConfigurationSource。如果两者都未配置，则利用 Spring MVC pattern inspector handler。
  1. public class CorsConfigurer<H extends HttpSecurityBuilder<H>>
  2.                 extends AbstractHttpConfigurer<CorsConfigurer<H>, H> {
  4.     private static final String HANDLER_MAPPING_INTROSPECTOR = "org.springframework.web.servlet.handler.HandlerMappingIntrospector";
  5.     private static final String CORS_CONFIGURATION_SOURCE_BEAN_NAME = "corsConfigurationSource";
  6.     private static final String CORS_FILTER_BEAN_NAME = "corsFilter";
  8.     private CorsConfigurationSource configurationSource;
  10.     public CorsConfigurer() {
  11.     }
  13.     public CorsConfigurer<H> configurationSource(
  14.             CorsConfigurationSource configurationSource) {
  15.         this.configurationSource = configurationSource;
  16.         return this;
  17.     }
  19.     @Override
  20.     public void configure(H http) {
  21.         ApplicationContext context = http.getSharedObject(ApplicationContext.class);
  23.         CorsFilter corsFilter = getCorsFilter(context);
  24.         if (corsFilter == null) {
  25.             throw new IllegalStateException(
  26.                     "Please configure either a " + CORS_FILTER_BEAN_NAME + " bean or a "
  27.                             + CORS_CONFIGURATION_SOURCE_BEAN_NAME + "bean.");
  28.         }
  29.         http.addFilter(corsFilter);
  30.     }
  32.     private CorsFilter getCorsFilter(ApplicationContext context) {
  33.         if (this.configurationSource != null) {
  34.             return new CorsFilter(this.configurationSource);
  35.         }
  37.         // 查找是否有名为corsFilter的Bean对象
  38.         boolean containsCorsFilter = context
  39.                 .containsBeanDefinition(CORS_FILTER_BEAN_NAME);
  40.         if (containsCorsFilter) {
  41.             return context.getBean(CORS_FILTER_BEAN_NAME, CorsFilter.class);
  42.         }
  44.         // 查找是否有名为corsConfigurationSource的Bean对象
  45.         boolean containsCorsSource = context
  46.                 .containsBean(CORS_CONFIGURATION_SOURCE_BEAN_NAME);
  47.         if (containsCorsSource) {
  48.             CorsConfigurationSource configurationSource = context.getBean(
  49.                     CORS_CONFIGURATION_SOURCE_BEAN_NAME, CorsConfigurationSource.class);
  50.             return new CorsFilter(configurationSource);
  51.         }
  53.         // 查找是否有org.springframework.web.servlet.handler.HandlerMappingIntrospector该类
  54.         boolean mvcPresent = ClassUtils.isPresent(HANDLER_MAPPING_INTROSPECTOR,
  55.                 context.getClassLoader());
  56.         if (mvcPresent) {
  57.             return MvcCorsFilter.getMvcCorsFilter(context);
  58.         }
  59.         return null;
  60.     }
  63.     static class MvcCorsFilter {
  64.         private static final String HANDLER_MAPPING_INTROSPECTOR_BEAN_NAME = "mvcHandlerMappingIntrospector";
  66.         private static CorsFilter getMvcCorsFilter(ApplicationContext context) {
  67.             if (!context.containsBean(HANDLER_MAPPING_INTROSPECTOR_BEAN_NAME)) {
  68.                 throw new NoSuchBeanDefinitionException(HANDLER_MAPPING_INTROSPECTOR_BEAN_NAME, "A Bean named " + HANDLER_MAPPING_INTROSPECTOR_BEAN_NAME +" of type " + HandlerMappingIntrospector.class.getName()
  69.                         + " is required to use MvcRequestMatcher. Please ensure Spring Security & Spring MVC are configured in a shared ApplicationContext.");
  70.             }
  71.             // 获取名为mvcHandlerMappingIntrospector的Bean对象
  72.             HandlerMappingIntrospector mappingIntrospector = context.getBean(HANDLER_MAPPING_INTROSPECTOR_BEAN_NAME, HandlerMappingIntrospector.class);
  73.             return new CorsFilter(mappingIntrospector);
  74.         }
  75.     }
  76. }
复制代码
CorsConfigurationSource（全局跨域）
  1. @Configuration
  2. public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
  4.     @Override
  5.     protected void configure(HttpSecurity http) throws Exception {
  6.         http.authorizeRequests()
  7.             .anyRequest()
  8.             .permitAll()
  9.             .and()
  10.             .formLogin()
  11.             .permitAll()
  12.             .and()
  13.             .httpBasic()
  14.             .and()
  15.             // 支持跨域访问
  16.             .cors()
  17.             // 可以选择配置
  18.             //.configurationSource(corsConfigurationSource())
  19.             .and()
  20.             .csrf()
  21.             .disable();
  22.     }
  23.    
  24.     @Bean
  25.     public CorsConfigurationSource corsConfigurationSource() {
  26.         CorsConfiguration configuration = new CorsConfiguration();
  27.         configuration.setAllowedOrigins(Arrays.asList("*"));
  28.         configuration.setAllowedMethods(Arrays.asList("*"));
  29.         configuration.setAllowedHeaders(Arrays.asList("*"));
  30.         UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
  31.         source.registerCorsConfiguration("/**", configuration);
  32.         return source;
  33.     }
  34. }
复制代码
CosFilter（全局跨域）

还有一种情况就是支持 OAuth2 相关接口的跨域，比如用户要访问 OAuth2 中的 /oauth/token 等接口，可以配置一个全局的 CorsFilter 跨域过滤器类
  1. @Configuration
  2. public class GlobalCorsConfig {
  3.    
  4.     @Bean
  5.     public CorsFilter corsFilter() {
  6.         //1.添加CORS配置信息
  7.         CorsConfiguration config = new CorsConfiguration();
  8.         //放行哪些原始域
  9.         config.addAllowedOrigin("*");
  10.         //是否发送Cookie信息
  11.         config.setAllowCredentials(true);
  12.         //放行哪些原始域(请求方式)
  13.         config.addAllowedMethod("*");
  14.         //放行哪些原始域(头部信息）
  15.         config.addAllowedHeader("*");
  16.         //暴露哪些头部信息（因为跨域访问默认不能获取全部头部信息）
  17.         config.addExposedHeader("*");
  19.         //2.添加映射路径
  20.         UrlBasedCorsConfigurationSource configSource = new UrlBasedCorsConfigurationSource();
  21.         configSource.registerCorsConfiguration("/**", config);
  23.         //3.返回新的CorsFilter.
  24.         return new CorsFilter(configSource);
  25.     }
  26. }
复制代码
自定义Filter（全局跨域）
  1. public class CorsFilter extends OncePerRequestFilter {
  2.    
  3.     @Override
  4.     protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
  5.         String orignalHeader = StringUtils.defaultIfBlank(request.getHeader("Origin"), "*");
  6.         // 指定本次预检请求的有效期
  7.         response.setHeader("Access-Control-Max-Age", "3600");
  8.         // 服务器支持的所有头信息字段
  9.         response.setHeader("Access-Control-Allow-Headers", request.getHeader("Access-Control-Request-Headers"));
  10.         response.setHeader("Access-Control-Allow-Origin", orignalHeader);
  11.         response.setHeader("Access-Control-Allow-Credentials", "true");
  12.         response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PUT");
  13.         filterChain.doFilter(request, response);
  14.     }
  15. }
复制代码
  1. @Configuration
  2. public class WebMvcConfig extends WebSecurityConfigurerAdapter {
  3.    
  4.     @Override
  5.     public void configure(HttpSecurity http) throws Exception {
  6.         http.addFilterBefore(new CorsFilter(), WebAsyncManagerIntegrationFilter.class);
  7.     }
  8. }
复制代码


免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

北冰洋以北

论坛元老
这个人很懒什么都没写!

楼主热帖

标签云

渠道 国产数据库 集成商 AI 运维 CIO 存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表