Spring Security 现在可以利用我写的这篇博文中描述的 Spring MVC CORS 支持。

要使其工作，您需要在 Spring Security 级别显式启用 CORS 支持，如下所示，否则启用 CORS 的请求可能会在到达 Spring MVC 之前被 Spring Security 阻止。

如果您使用控制器级别的@CrossOrigin注解，您只需要启用 Spring Security CORS 支持，它将利用 Spring MVC 配置：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()...
    }
}

如果你更喜欢使用 CORS 全局配置，你可以声明一个CorsConfigurationSourcebean，如下所示：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()...
    }

    @Bean
    CorsConfigurationSource corsConfigurationSource() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", new CorsConfiguration().applyPermitDefaultValues());
        return source;
    }
}

这种方法取代了之前推荐的基于过滤器的方法。

您可以在Spring Security 文档的专用 CORS 部分中找到更多详细信息。

如果您使用 JDK 8+，则有一个单行 lambda 解决方案：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().configurationSource(request -> new CorsConfiguration().applyPermitDefaultValues());
}

如果您使用的是Spring Security，您可以执行以下操作以确保首先处理 CORS 请求：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // by default uses a Bean by the name of corsConfigurationSource
            .cors().and()
            ...
    }

    @Bean
    CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
        configuration.setAllowedMethods(Arrays.asList("GET","POST"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

有关更多信息，请参阅Spring 4.2.x CORS。

如果没有Spring Security，这将起作用：

@Bean
public WebMvcConfigurer corsConfigurer() {
    return new WebMvcConfigurer() {
        @Override
        public void addCorsMappings(CorsRegistry registry) {
            registry.addMapping("/**")
                    .allowedOrigins("*")
                    .allowedMethods("GET", "PUT", "POST", "PATCH", "DELETE", "OPTIONS");
        }
    };
}

如何解决 Spring Boot 2.3+ 上的 CORS

概括

如果您遇到此 CORS 问题，请不要担心。这是每个后端开发人员第一次尝试与前端微服务集成时都会遇到的常见问题。这是浏览器严格应用的某种安全策略，以确保用户的安全，这就是为什么当您通过 Postman/Swagger 或 cURL 尝试您的 API 时您没有面对它。

解决方案

• 客户端绕过（仅限开发人员）

以下解决方案仅用于开发目的，您绝对需要为您的生产环境永久解决此 CORS 问题。您可以使用以下浏览器扩展来绕过针对 CORS 错误的浏览器策略，但如果它们无法正常工作，请不要感到惊讶。

1. CORS 取消阻止Firefox - Chrome
2. CORS 无处不在Firefox

• 生产解决方案

有多种方法可以在应用程序上配置 CORS 策略，这完全基于您的部署架构。例如，如果您的应用程序将通过反向代理（如 Nginx）、API 网关（Kong）、服务网格 Sidecar 代理（即 Envoy）、Kubernetes NGINX Ingress 等公开，最佳实践是处理 CORS Edge 层上的配置，因为有时他们不考虑较低层的标头并覆盖它们，您仍然会收到来自浏览器的 CORS 错误。我在下面列出了用于配置边缘层的有用链接

• Kubernetes NGINX 入口控制器 CORS - Stackoverflow /官方用户手册
• Kong API 网关 - KongHQ
• Nginx - Geekflare
• apache - Geekflare
• HA 代理 -官方网站
• Istio -讨论.Istio

但是，如果您要通过 SprintBoot 的内置 Web 服务器部署和公开您的 API，则可以使用接下来的说明。

全局启用 CORS 的说明 - Spring Boot 应用程序

如果您没有任何 WebSecurityConfig 实现，只需轻松执行以下步骤：

1. 将以下依赖项 [ spring-boot-starter-security ] 添加到您的 pom.xml

<dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 在您的配置包中创建一个扩展 WebSecurityConfig 的新类（即“SecurityConfig”）
3. 将以下代码放入创建的文件中：

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.web.cors.CorsConfiguration;

import java.util.List;

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter
{


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        corsConfiguration.setAllowedHeaders(List.of("Authorization", "Cache-Control", "Content-Type"));
        corsConfiguration.setAllowedOrigins(List.of("*"));
        corsConfiguration.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE", "PUT","OPTIONS","PATCH", "DELETE"));
        corsConfiguration.setAllowCredentials(true);
        corsConfiguration.setExposedHeaders(List.of("Authorization"));
        
        // You can customize the following part based on your project, it's only a sample
        http.authorizeRequests().antMatchers("/**").permitAll().anyRequest()
                .authenticated().and().csrf().disable().cors().configurationSource(request -> corsConfiguration);

    }
}

4. 现在您需要根据需要自定义 CORS 配置：

   • setAllowedHeaders -> 你必须指定哪些参数允许通过前端应用发送到后端服务，例如，如果你使用的是 Bearer/Basic Token Authorization 方法，则需要通过“授权”标题。因此，您需要确保 backed 会相应地接受此数据，为此，您必须将“授权”放在 Allowed-Headers 列表中。

   • setAllowedMethods -> 不要忘记将“OPTIONS”方法放在 Pre-flight 过程的列表中。别担心，在这里阅读更多！

   • setAllowCredentials -> 如果您使用 Authorization 标头，请将其设置为 True。

   • setExposedHeaders -> 如果你通过响应头返回数据，你需要在这里指定它们。例如，某些 API 旨在通过响应标头在成功/身份验证后返回授权令牌。因此，需要相应地公开相关的标头。

   • setAllowedOrigins -> 您必须指定有资格向后端应用程序发送请求的域。例如，如果您的应用程序托管在https://penguin.com 上，而您的 API 位于https://api.penguin.com 上，则您需要允许“https://penguing.com”向您的后端发送请求. 此外，您可以传递通配符 (*) 以允许任何域向您的后端发送请求。但建议不要使用“any”，除非您提供公共 API 或在非生产环境中部署。

   对于可能认为 CORS 可以避免其他平台滥用 API（即网络钓鱼目的）的人来说，这是一个重要的误解。这不是真的，CORS 策略是基于浏览器的策略，可以通过代理轻松绕过，因此它只会使误用过程变得更加困难，但并不会产生免疫力。

5. 构建/运行您的应用程序，测试您的 API，然后休息（每个人都知道 CORS 头痛）

替代解决方案

您可以使用以下链接：

Spring.io | 为 RESTful Web 服务启用跨域请求

Bealdung | 带弹簧的 CORS

跨源保护是浏览器的一项功能。正如您所推测的那样，Curl 不关心 CORS。这解释了为什么您的卷发成功，而浏览器请求却没有。

如果您使用错误的凭据发送浏览器请求，spring 将尝试将客户端转发到登录页面。此响应（在登录页面之外）不包含标题“Access-Control-Allow-Origin”，浏览器会按照您的描述做出react。

您必须使 spring 包含此登录响应的 haeder，并且可能包含其他响应，例如错误页面等。

这可以这样做：

    @Configuration
    @EnableWebMvc
    public class WebConfig extends WebMvcConfigurerAdapter {

            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/api/**")
                    .allowedOrigins("http://domain2.com")
                    .allowedMethods("PUT", "DELETE")
                    .allowedHeaders("header1", "header2", "header3")
                    .exposedHeaders("header1", "header2")
                    .allowCredentials(false).maxAge(3600);
            }
     }

这是从cors-support-in-spring-framework复制的

我将首先为所有资源添加 cors 映射：

registry.addMapping("/**")

并且还允许所有方法标头..一旦它起作用，您可以开始再次将其减少到所需的最小值。

请注意，CORS 配置随 4.2 版而更改。

如果这不能解决您的问题，请发布您从失败的 ajax 请求中获得的响应。