CORS飞行前请求-标头中的自定义auth令牌-Spring和Angular 4

Question

@Override
public void doFilter(final ServletRequest req, final ServletResponse res,
                     final FilterChain chain) throws IOException, ServletException {
    final HttpServletResponse response = (HttpServletResponse) res;
    response.setHeader("Access-Control-Allow-Origin", "*");
    response.setHeader("Access-Control-Allow-Methods",
            "POST, GET, PUT, OPTIONS, DELETE, PATCH");
    response.setHeader("Access-Control-Max-Age", "3600");
    response.setHeader("Access-Control-Allow-Headers", "x-requested-with, x-auth-token, Content-Type");
    response.setHeader("Access-Control-Expose-Headers", "x-auth-token");
    response.setHeader("Access-Control-Allow-Credentials", "true");

    final HttpServletRequest request = (HttpServletRequest) req;

    if (request.getMethod().equals("OPTIONS")) {
        try {
            response.getWriter().print("OK");
            response.getWriter().flush();
        } catch (IOException e) {
            e.printStackTrace();
        }
    } else {
        chain.doFilter(request, response);
    }
}

所以这里的x-auth-token是一个类似JWT的标记。

在我的Angular代码中，我只需将令牌添加为x-auth-token，如下所示：

getAll() {
    return this.http.get('http://127.0.0.1:8080/module', this.jwt()).map((response: Response) => response.json());
}

private jwt() {
    // create authorization header with jwt token
    let token = localStorage.getItem('user');
    let obj = JSON.parse(token)
    console.log(obj.token.token)
    if (obj.token) {
        let headers = new Headers({
            'x-auth-token': obj.token.token,
            'Content-Type': "application/json"
        });
        return new RequestOptions({ headers: headers });
    }
}

请注意，我的身份验证/注册路由工作正常，我只是在将x-auth-token标头传输到Spring服务器时遇到了困难。

谢谢，

Answer 1

首先，postman和curl不是测试CORS的好方法，因为它们不像标准浏览器那样执行相同的起源策略。即使在浏览器中失败的情况下，它们也会工作。

其次，浏览器预先启动请求的原因是，它不是一个简单的请求，因为x-auth-token标头和application/json内容类型。简单请求中只允许application/x-www-form-urlencodedmultipart/form-data和text/plain内容类型。

我假设问题出在选项响应上。确保它包括所有相关的标题。它可能失败了，或者您正在丢失添加的标头，因为您处理它的方式与其他响应不同。