调用spring rest api时出现CORS未授权的401错误

Question

我的rest服务中没有Spring Security实现，当我试图调用rest中的资源时，我面临CORS 401未授权问题。

我对此感到愤怒：

https://www.baeldung.com/spring-security-cors-preflight

https://docs.spring.io/spring-security/site/docs/5.0.7.RELEASE/reference/html5/#cors

我有两个电话要Rest：

1） 登录

2） 其他

登录功能是基于Shiro的，例如，当我从Postman执行登录，然后尝试调用其他资源时，它就工作了。

当我开始用react实现客户端应用程序时，我的问题就开始了，我试图从fetch javascript方法调用其余部分。我在第一次调用登录时遇到了CORS问题，我通过在控制器中添加@CorsOrigin注释解决了这个问题，但登录成功后，第二次调用在CORS 401上仍然失败。

如果我理解正确，CORS可以通过添加filter t oWebSecurityConfig来解决，但如果我的应用程序是从Postman运行的，那么就没有必要在我的服务器端应用程序中执行这样的更改，我想从客户端解决它。

这让我可以选择在我的请求中传递JSESSIONID，对吧？！我仍然不知道该怎么做...我应该从哪里获取JSESSIONID？我尝试阅读浏览器的cookie，但在那里没有找到它...我尝试从第一次调用登录的响应标头中获取它，但响应为空！

尝试在服务器端使用Spring解决它，但没有成功：

Web安全配置：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {

//        http
//        .cors();
//        .headers().disable();

//      http
//        .authorizeRequests()
//        .requestMatchers(CorsUtils::isCorsRequest).permitAll()
//        .anyRequest().authenticated()
//        .and().httpBasic()
//        .and().addFilterBefore(new WebSecurityCorsFilter(), ChannelProcessingFilter.class);

        http.addFilterBefore(new CorsFilter(), ChannelProcessingFilter.class);

    }
}

WebSecurityCorsFilter：

public class WebSecurityCorsFilter implements Filter {
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletResponse res = (HttpServletResponse) response;
    res.setHeader("Access-Control-Allow-Origin", "*");
    res.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PUT");
    res.setHeader("Access-Control-Max-Age", "3600");
    res.setHeader("Access-Control-Allow-Headers", "Authorization, Content-Type, Accept, x-requested-with, Cache-Control");
    chain.doFilter(request, res);
}

@Override
public void destroy() {
}

}

或CorsFilter（使用其中一个）：

@Component
//@Order(Ordered.HIGHEST_PRECEDENCE)
public class CorsFilter implements Filter{

public CorsFilter () {
    super();
}

@Override
public final void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain) throws IOException, ServletException {
    final HttpServletResponse response = (HttpServletResponse) res;
    response.setHeader("Access-Control-Allow-Origin", "http://localhost:3000");

    // without this header jquery.ajax calls returns 401 even after successful login and SSESSIONID being succesfully stored.
    response.setHeader("Access-Control-Allow-Credentials", "true");

    response.setHeader("Access-Control-Allow-Methods", "POST, PUT, GET, OPTIONS, DELETE");
    response.setHeader("Access-Control-Max-Age", "3600");
    response.setHeader("Access-Control-Allow-Headers", "X-Requested-With, Authorization, Origin, Content-Type, Version");
    response.setHeader("Access-Control-Expose-Headers", "X-Requested-With, Authorization, Origin, Content-Type");

    final HttpServletRequest request = (HttpServletRequest) req;
    if (!request.getMethod().equals("OPTIONS")) {
        chain.doFilter(req, res);
    } else {
        // do not continue with filter chain for options requests
    }
}

@Override
public void destroy() {

} 

@Override
public void init(FilterConfig filterConfig) throws ServletException {       
}
}

Answer 1

多亏了这个类似的获取问题：https://github.com/github/fetch/issues/386

我终于成功了。所以，总结一下：

1）不需要更改Spring Security Config，除了将此注释添加到控制器之外（您可以将其添加到基本控制器一次，并且都可以从中继承）

@Cross Origin（起源 = " * ", 允许标头 = " * ")

2）从客户端，当使用fetch时，我必须从两个请求（Login和第二个请求）中使用：

凭据：“包括”、//“同源”

（注意使用cors时不要使用凭据的“同源”值）

无需手动设置任何cookie，浏览器应该处理它（如果您需要编写Java客户端，那么就需要它...你可以搜索CookiesManagement java类，你会发现这样的实现）