请解释Spring Boot中的飞行前过滤器代码

Question

我在Spring boot中有一些关于飞行前过滤器的代码，但我不知道这段代码的用途：

@Component
// We want to put this in front of SpringSessionFilter
@Order(Ordered.HIGHEST_PRECEDENCE)
public class RequestFilter {

    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-control-Allow-Methods", "POST, PUT, GET, OPTIONS, DELETE");
        response.setHeader("Access-Control-Allow-Headers", "x-requested-with, x-auth-token");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Credentials", "true");

        if(!(request.getMethod().equalsIgnoreCase("OPTIONS"))) {
            try {
                chain.doFilter(req, res);
            } catch (Exception e) {
                e.printStackTrace();
            }
        } else {
            System.out.println("Pre-fight");
            response.setHeader("Access-Control-Allowed-Methods", "POST, GET, DELETE");
            response.setHeader("Access-Control-Max-Age", "3600");
            response.setHeader("Access-Control-Allow-Headers", "authorization, content-type, x-auth-token, " +
                    "access-control-request-headers,access-control-request-method,accept,origin,authorization,x-requested-with");
            response.setStatus(HttpServletResponse.SC_OK);
        }
    }

    public void init(FilterConfig filterConfig) {}

    public void destroy() {}

}

这是该文件的解释：

因此，当Angular 2发送http post ajax调用时，它将首先发送一个pre-flight并且方法类型不是“post”而是“Options”。如果这个预飞行有一个有效的响应，那么它将开始发送真正的http POST。这是为了防止跨站点攻击。在后端，spring对此没有开箱即用的处理。所以我们需要检查http方法是否是一个预置。如果是的话，我们只会用有效的头和信息来响应。如果没有，我们将继续过滤链。

但我看不懂源代码。谁能为我解释？

Answer 1

为什么响应.setheader（“access-control-allow-origin”,“*”）；？

跨源资源共享(CORS)是一种允许限制在web浏览器中实现的资源的安全概念。它防止JavaScript代码产生或使用不同来源的请求。

例如，您的web应用程序正在8080端口上运行，而通过使用JavaScript，您试图从9090端口使用RESTful web服务。在这种情况下，您将面临跨源资源共享安全问题在您的web浏览器。要授予访问权限，您可以将其设置为*或使用您的域

CORS预飞行请求是检查CORS协议是否被理解的CORS请求。

它是一个选项请求，使用了三个HTTP请求头:access-control-request-method,Access-Control-Request-Headers和Origin header。

预飞行请求是浏览器在需要时发出的自动。在正常情况下，前端开发人员不需要自己创建这样的请求。

例如，客户端可能在发送删除请求之前询问服务器是否允许DELETE请求，方法是使用预飞行请求：

OPTIONS /resource/foo 
Access-Control-Request-Method: DELETE 
Access-Control-Request-Headers: origin, x-requested-with
Origin: https://foo.bar.org

如果服务器允许，那么它将使用Access-Control-Allow-Methods响应头响应预飞行请求，其中列出delete：

HTTP/1.1 204 No Content
Connection: keep-alive
Access-Control-Allow-Origin: https://foo.bar.org
Access-Control-Allow-Methods: POST, GET, OPTIONS, DELETE
Access-Control-Max-Age: 86400

什么是FilterChain？

FilterChain筛选器