Spring的CORS问题-安全性

Question

我正在用Spring-boot（在http：//localhost:8080上）和angular（在http：//localhost:80上）构建一个应用程序。

@Configuration
public class WebMvcConfiguration extends WebMvcConfigurerAdapter {   

  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**")
        .allowedOrigins("http://localhost")
        .allowCredentials(true)
    ;
  }
}

public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

  @Override
  public void configure(HttpSecurity http) throws Exception {
    http
      .formLogin()
      .successHandler(successHandler())
      .failureHandler(failureHandler())
    //[...]
  }

  private AuthenticationSuccessHandler successHandler() {
    return (httpServletRequest, httpServletResponse, authentication) ->
      httpServletResponse.setStatus(HttpServletResponse.SC_OK);
  }

  private AuthenticationFailureHandler failureHandler() {
    return (httpServletRequest, httpServletResponse, e) -> {
       httpServletResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
    };
}

$http.post('http://localhost:8080/api/login', $.param({'username': username, 'password': password}),
            {headers: {'content-type': 'application/x-www-form-urlencoded'}}
).then(function() {})
.catch(function(error) {};

如果我输入了正确的密码，http响应代码（我可以在Chrome控制台中看到）是200，但我仍然到达catch块（带有error.status=-1)，并且我可以在控制台中看到以下错误消息：

XMLHttpRequest无法加载http://localhost:8080/api/login。请求的资源上没有“access-control-allow-origin”标头。因此，不允许访问源“http：//localhost”。

如果输入错误的密码,我还会到达catch块,并显示以下错误消息：

Answer 1

根据我的经验，您需要在CORS中包含端口号，浏览器的错误消息有点误导。

您可以通过检查网络并检查请求头的origin字段来验证这一点。响应头的access-control-allow-origin中的值必须与该值完全匹配，包括协议和端口。