Spring boot CORS配置

Question

我有Spring引导Rest应用程序。最近，我使用JSONWebToken实现了用户身份验证。

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
private JwtAuthFilter authFilter;

@Autowired
private JwtAuthenticationProvider authenticationProvider;

@Autowired
private JwtAuthenticationEntryPoint authenticationEntryPoint;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(authenticationProvider);
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    //http.csrf().ignoringAntMatchers("/token");
    http.csrf().disable();

    http.cors().and().authorizeRequests()
            .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
            .antMatchers("/token").permitAll()
            .antMatchers("/rest/**").authenticated()
            .and()
            .addFilterBefore(authFilter, UsernamePasswordAuthenticationFilter.class)
            .exceptionHandling()
            .authenticationEntryPoint(authenticationEntryPoint);

}


@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("*"));
    configuration.setAllowedMethods(Arrays.asList("GET","POST","OPTIONS","PUT","DELETE"));
    configuration.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/rest/**", configuration);
    return source;
}


}

JWTauthFilter：

@Component
public class JwtAuthFilter implements Filter
{

@Override
public void doFilter(ServletRequest request, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException
{
    HttpServletRequest servletRequest = (HttpServletRequest) request;
    HttpServletResponse response = (HttpServletResponse) servletResponse;

    String authorization = servletRequest.getHeader("Authorization");
    String origin = servletRequest.getHeader("Origin");

    if (authorization != null)
    {
        JwtAuthToken token = new JwtAuthToken(authorization.replaceAll("Bearer ", ""));
        SecurityContextHolder.getContext().setAuthentication(token);
    }

    filterChain.doFilter(servletRequest, response);
}

@Override
public void destroy()
{

}

@Override
public void init(FilterConfig filterConfig) throws ServletException
{

}
}

我的登录控制器有一个映射“/token”，所有其他控制器都映射为“/rest/**”。有趣的是，调用一个“/token”控制器可以很好地工作...它返回令牌和用户详细信息。服务器响应包含：

• access-control-allow-credentials为true
• access-control-allow-origin http://localhost:4200

当我改变

source.registerCorsConfiguration("/rest/**", configuration);

到source.registercorsconfiguration（“/**”，配置）；

错误是access-control-allow-origin头http：//localhost:4200和http：//localhost:4200中有两个值

Answer 1

这是个老问题&我不确定你是否找到了答案。我只能建议调试这些问题的方法，因为这些问题通常是非常本地设置的。

1.仅有Java代码不足以调试CORS问题。您需要查看浏览器的网络选项卡并查看哪个调用失败--选项调用还是实际数据调用。其次，在浏览器中，需要仔细查看请求和响应头，以确定是否有失败的请求&这些请求需要在下面列出。下面这些。

在请求端-起源

当我使用postman测试它时，似乎一切都运行得很好，但当从Angular Application调用其馀部分时，我在引用CORS时出现错误：

这是正常的行为，因为CORS是浏览器的安全功能，您可能不会在任何其他客户端中看到此问题。CORS错误并不意味着您的API调用没有成功，它只意味着browser正在抑制响应&没有向前移动。

因此，如果您的API使用者不是web浏览器，那么您很可能在API端与CORS无关。其他客户机不是通过包含options请求来使其成为一个两步过程。

如何对特定url禁用Spring Security性

因此，找到CORS问题的理想方法是通过接收有问题的请求来调试代码&验证响应头access-control-allow-origin是否正确填充。