如何阻止从Postman/其他API的/etc...（Spring Boot）访问我的API

Question

我正在使用Spring Boot和Spring Security开发一个Rest Api。我有公共和私人区域，我使用Spring Security进行身份验证（用于私人区域）。

问题是，我配置了CORS，如果我从未经授权的url调用公共endpoint，它会阻止请求，但我很惊讶，如果我从Postman或其他使用RestTemplate的Spring Boot应用调用它，CORS不会阻止请求并返回结果。

我在网上看到CORS只会屏蔽来自浏览器的呼叫。。那么，如何保护API的公共部分不被Postman或其他API调用呢？

@Bean
    CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:4200","http://localhost:4201"));
        configuration.setAllowedMethods(Arrays.asList("GET","POST","DELETE"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

Answer 1

private Map<String, String> getRequestHeadersInMap(HttpServletRequest request) {

    Map<String, String> result = new HashMap<>();

    Enumeration headerNames = request.getHeaderNames();
    while (headerNames.hasMoreElements()) {
        String key = (String) headerNames.nextElement();
        String value = request.getHeader(key);
        result.put(key, value);
    }

    return result;
}

Answer 2

恐怕没有解决方案。在Postman中，您可以添加任何您想要的标头。因此，如果您拥有所有必要的令牌，则可以模仿任何客户端。此外，CORS略有不同的目的：

CORS的用例很简单。想象一下爱丽丝的网站。com上有一些数据显示该网站是bob。com想要访问。在浏览器的同源策略下，传统上不允许此类请求。然而，通过支持CORS请求，alice。com可以添加一些特殊的响应头，以允许bob。com访问数据。

您可以在这里找到其他信息：https://medium.com/@baphim ot/理解-cors-18ad6b478e2b