SpringMvc CORS跨域设置

基于安全的考虑， W3C 规范规定浏览器禁止访问不同域(origin)的资源，目前绝大部分浏览器遵循这一规范，从而衍生出了跨域资源共享 ( CORS )问题，相比于 IFRAME 或 JSONP ， CORS 更全面并且更安全， Spring Mvc 为我们提供了一套多粒度的CORS解决方案。

关于 CORS 的介绍，主要参考文章 《Cross-Origin Resource Sharing (CORS)》

CORS 的工作原理是添加新的 HTTP headers 来让服务器描述哪些源的请求可以访问该资源，对于可能对服务器造成不好影响的请求，规范规定浏览器需要先发送“预检”请求（也就是 OPTION 请求），在预检请求通过后再发送实际的请求，服务器还可以通知客户端是否应该随请求发送“凭据”（例如 Cookie 和 HTTP 身份验证），更详细的介绍可以参考上面的文章，本文主要讨论 Spring Mvc 对 CORS 的支持。

需要注意的是：

不需要发送”预检“请求

可以看见 @CrossOrigin 注解可以标注在类或者方法上，其中几个常量如 DEFAULT_ORIGINS 已经在Spring 5.0弃用，取而代之的是 CorsConfiguration#applyPermitDefaultValues 方法。

标注在类上，该类的所有方法均会生效

同时也可以类和方法结合使用

@CrossOrigin 注解比较适用于较细粒度的跨域控制，对于全局的跨域控制， Spring Mvc 提供了 Global Configuration 配置。

Spring Mvc 对于全局的 CORS 比较简单，分为两个方案

创建 WebConfig 类实现 WebMvcConfigurer 接口，通过 CorsRegistry 设置跨域信息

通过 CorsConfiguration 设置跨域信息，并将 CorsConfiguration 通过 CorsFilter 构造函数传递进去

Spring Mvc 对于 CORS 可以说是非常方便，本文主要是想让各位开发者对跨域有个整体的了解，各个参数代表的含义，而不是在所有项目中都一概而论的设置为“*”，要在自身项目的实际需求以及安全性上多做思考，防止生产事故。

跨域是指跨域名的访问，以下情况都属于跨域：

如果 域名和端口都相同，但是请求路径不同 ，不属于跨域，如：

www.jd.com/item

www.jd.com/goods

跨域不一定会有跨域问题。

因为跨域问题是浏览器对于ajax请求的一种安全限制： 一个页面发起的ajax请求，只能是于当前页同域名的路径 ，这能有效的阻止跨站攻击。

因此： 跨域问题 是针对ajax的一种限制 。

但是这却给我们的开发带来了不变，而且在实际生成环境中，肯定会有很多台服务器之间交互，地址和端口都可能不同，怎么办？

目前比较常用的跨域解决方案有3种：

我们这里会采用cors的跨域方案。

CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。

它允许浏览器向跨源服务器，发出 XMLHttpRequest 请求，从而克服了AJAX只能 同源 使用的限制。

CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE浏览器不能低于IE10。

浏览器会将ajax请求分为两类，其处理方案略有差异：简单请求、特殊请求。

只要同时满足以下两大条件，就属于简单请求。：

（1) 请求方法是以下三种方法之一：

（2）HTTP的头信息不超出以下几种字段：

当浏览器发现发现的ajax请求是简单请求时，会在请求头中携带一个字段： Origin .

Origin中会指出当前请求属于哪个域（协议+域名+端口）。服务会根据这个值决定是否允许其跨域。

如果服务器允许跨域，需要在返回的响应头中携带下面信息：

注意：

如果跨域请求要想操作cookie，需要满足3个条件：

不符合简单请求的条件，会被浏览器判定为特殊请求,，例如请求方式为PUT。

特殊请求会在正式通信之前，增加一次HTTP查询请求，称为"预检"请求（preflight）。

浏览器先询问服务器，当前网页所在的域名是否在服务器的许可名单之中，以及可以使用哪些HTTP动词和头信息字段。只有得到肯定答复，浏览器才会发出正式的 XMLHttpRequest 请求，否则就报错。

一个“预检”请求的样板：

与简单请求相比，除了Origin以外，多了两个头：

服务的收到预检请求，如果许可跨域，会发出响应：

除了 Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials 以外，这里又额外多出3个头：

如果浏览器得到上述响应，则认定为可以跨域，后续就跟简单请求的处理是一样的了。

虽然原理比较复杂，但是前面说过：

事实上，SpringMVC已经帮我们写好了CORS的跨域过滤器：CorsFilter ,内部已经实现了刚才所讲的判定逻辑，我们直接用就好了。

在 Application 下编写一个配置类，并且注册CorsFilter：

结构：

放到Application下即可。

4.5.4.重启测试：

访问正常：

---