HTTP状态代码401，即使我在请求中发送凭据

Question

最近，我将JWT身份验证引入了我的基于Springboot和Angualr2的应用程序。在那里，我试图通过在Angualr代码中传递如下所示的JWT令牌来执行POST请求

save(jobId: number, taskId: number, note: Note) {

   return this.http.post(environment.APIENDPOINT + '/jobs/' + jobId + '/tasks/' + taskId + '/notes', note, this.setHeaders()).map((response: Response) => response.json());

}

private setHeaders() {
        // create authorization header with jwt token
        let currentUser = JSON.parse(localStorage.getItem('currentUser'));
        console.log("Current token---"+ currentUser.token);
        if (currentUser && currentUser.token) {

  let headers = new Headers();
  headers.append('Content-Type', 'application/json');
  headers.append('authorization','Bearer '+ currentUser.token);
            
   let r = new RequestOptions({ headers: headers })
   return r;

        }
    }

但是，在服务器端，它返回状态代码401。问题在Springboot端，它检查授权头，如下所示，并返回null

String authToken = request.getHeader("authorization ");

然后，我查看了请求头，它在Access-Control-Request-Headers下有授权头，如下所示。但服务器端不可见。

@Bean
public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.setAllowCredentials(true);
    config.addAllowedOrigin("*");
    config.addAllowedHeader("*");
    config.addExposedHeader("authorization");
    config.addAllowedMethod("OPTIONS");
    config.addAllowedMethod("GET");
    config.addAllowedMethod("POST");
    config.addAllowedMethod("PUT");
    config.addAllowedMethod("DELETE");

    //config.addExposedHeader("Content-Type");
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
}

在阅读了SideShowBarker下面的评论后，我能够理解这个问题背后的基础。在我的项目中，我有一个JWT令牌过滤器，它总是检查授权头。然后我修改了如下，现在它按预期工作

protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
try {

    if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
        response.setStatus(HttpServletResponse.SC_OK);
    }else{
        String authToken = request.getHeader(this.tokenHeader);
        jWTTokenAuthenticationService.parseClaimsFromToken(authToken);
        --
    }
    chain.doFilter(request, response);
}Catch(AuthenticationException authEx){
    SecurityContextHolder.clearContext();
    if (entryPoint != null) {
        entryPoint.commence(request, response, authEx);
    }
}

}

Answer 1

您需要将服务器配置为不需要对选项请求进行授权（即请求发送到的服务器，而不是为前端代码服务的服务器）。

那是因为正在发生的事情是这样的：

1. 您的代码告诉您的浏览器它希望发送带有Authorization标头的请求。
2. 您的浏览器表示，好吧，具有Authorization标头的请求需要我执行CORS预飞行选项以确保服务器允许具有Authorization标头的请求。
3. 浏览器将options请求发送到服务器，而没有Authorization标头，因为options检查的全部目的是查看是否可以包含该标头。
4. 您的服务器看到options请求，但它不是以指示它允许请求中的Authorization标头的方式响应它，而是以401拒绝它，因为它缺少标头。
5. 您的浏览器期望CORS预飞行的响应为200或204，但得到的响应为401。因此，您的浏览器就停在那里，永远不会尝试来自代码的post请求。

null