Spring Boot 中三种跨域场景总结

@[toc]
跨域这个问题松哥之前写过文章，但是最近收到小伙伴们的一些问题，让我发现之前的总结不够全面，因此打算再写一篇文章，来和大家分享一下 Spring Boot 中的跨域问题。

这次我把 Spring Boot 中的跨域问题分为了三个场景：

• 普通跨域
• Spring Security 跨域
• OAuth2 跨域

分为三种并非多此一举，主要是因为这三种场景的配置都不太一样，而这三种场景又都是非常常见的场景，所以这里和大家再来专门分享下。

很多人对跨域有一种误解，以为这是前端的事，和后端没关系，其实不是这样的，说到跨域，就不得不说说浏览器的同源策略。

同源策略是由 Netscape 提出的一个著名的安全策略，它是浏览器最核心也最基本的安全功能，现在所有支持 Javascript 的浏览器都会使用这个策略。所谓同源是指协议、域名以及端口要相同。

同源策略是基于安全方面的考虑提出来的，这个策略本身没问题，但是我们在实际开发中，由于各种原因又经常有跨域的需求，传统的跨域方案是 JSONP，JSONP 虽然能解决跨域但是有一个很大的局限性，那就是只支持 GET 请求，不支持其他类型的请求，在 RESTful 时代这几乎就没什么用。

而今天我们说的 CORS（跨域源资源共享）（CORS，Cross-origin resource sharing）是一个 W3C 标准，它是一份浏览器技术的规范，提供了 Web 服务从不同网域传来沙盒脚本的方法，以避开浏览器的同源策略，这是 JSONP 模式的现代版。

在 Spring 框架中，对于 CORS 也提供了相应的解决方案，在 Spring Boot 中，这一方案得倒了简化，无论是单纯的跨域，还是结合 Spring Security 之后的跨域，都变得非常容易了。

首先创建两个普通的 Spring Boot 项目，这个就不用我多说，第一个命名为 provider 提供服务，第二个命名为 consumer 消费服务，第一个配置端口为 8080，第二个配置配置为 8081，然后在 provider 上提供两个 hello 接口，一个 get，一个 post，如下：

@RestController
public class HelloController {
    @GetMapping("/hello")
    public String hello() {
 return "hello";
    }
    @PostMapping("/hello")
    public String hello2() {
 return "post hello";
    }
}

Access to XMLHttpRequest at 'http://localhost:8080/hello' from origin 'http://localhost:8081' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

@RestController
public class HelloController {
    @CrossOrigin(value = "http://localhost:8081")
    @GetMapping("/hello")
    public String hello() {
 return "hello";
    }

    @CrossOrigin(value = "http://localhost:8081")
    @PostMapping("/hello")
    public String hello2() {
 return "post hello";
    }
}

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
 registry.addMapping("/**")
 .allowedOrigins("http://localhost:8081")
 .allowedMethods("*")
 .allowedHeaders("*");
    }
}

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
 http
  .authorizeRequests()
  .anyRequest().authenticated()
  .and()
  .formLogin()
  .permitAll()
  .and()
  .httpBasic()
  .and()
  .cors()
  .and()
  .csrf()
  .disable();
    }
}

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
 http
  .authorizeRequests()
  .anyRequest().authenticated()
  .and()
  .formLogin()
  .permitAll()
  .and()
  .httpBasic()
  .and()
  .cors()
  .configurationSource(corsConfigurationSource())
  .and()
  .csrf()
  .disable();
    }
    @Bean
    CorsConfigurationSource corsConfigurationSource() {
 UrlbasedCorsConfigurationSource source = new UrlbasedCorsConfigurationSource();
 CorsConfiguration configuration = new CorsConfiguration();
 configuration.setAllowCredentials(true);
 configuration.setAllowedOrigins(Arrays.asList("*"));
 configuration.setAllowedMethods(Arrays.asList("*"));
 configuration.setAllowedHeaders(Arrays.asList("*"));
 configuration.setMaxAge(Duration.ofHours(1));
 source.registerCorsConfiguration("/**",configuration);
 return source;
    }
}

@Configuration
public class GlobalCorsConfiguration {
    @Bean
    public CorsFilter corsFilter() {
 CorsConfiguration corsConfiguration = new CorsConfiguration();
 corsConfiguration.setAllowCredentials(true);
 corsConfiguration.addAllowedOrigin("*");
 corsConfiguration.addAllowedHeader("*");
 corsConfiguration.addAllowedMethod("*");
 UrlbasedCorsConfigurationSource urlbasedCorsConfigurationSource = new UrlbasedCorsConfigurationSource();
 urlbasedCorsConfigurationSource.registerCorsConfiguration("/**", corsConfiguration);
 return new CorsFilter(urlbasedCorsConfigurationSource);
    }
}

@Configuration
@Order(Ordered.HIGHEST_PRECEDENCE)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    ...
    ...
    @Override
    protected void configure(HttpSecurity http) throws Exception {
 http
  .requestMatchers().antMatchers(HttpMethod.OPTIONS, "/oauth/**")
  .and()
  .csrf().disable().formLogin()
  .and()
  .cors();
    }
}