Spring Security注销不适用于Spring 4 CORS

Question

最近，我尝试了Spring4中新的内置CORS支持。这个特性很棒，我想在我的Spring Boot/AngularJS应用程序中实现它。

所有请求都可以正常工作，但是我不能注销我的用户，因为选项-request to/logout是由Spring Security处理的。

是否可以在Spring Security之前处理选项-request，或者是否应该在logoutsuccessshandler中附加cors-header？

Answer 1

在使用Spring Security时，建议使用CorsFilter。您需要确保在Spring Security的FilterChainProxy之前订购CorsFilter。

有关使用Corsfilter的详细信息，可以参考Spring Data Rest和Cors。对于这个问题，不同之处在于您可能只想注册注销URL。例如：

@Bean
public CorsFilter corsFilter() {

    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowCredentials(true); // you USUALLY want this
    // likely you should limit this to specific origins
    config.addAllowedOrigin("*"); 
    config.addAllowedHeader("*");
    config.addAllowedMethod("GET");
    config.addAllowedMethod("POST");
    config.addAllowedMethod("PUT");
    source.registerCorsConfiguration("/logout", config);
    return new CorsFilter(source);
}