Spring Boot：无法从其他来源访问安全资源-CORS-Spring Security-Spring data rest

Question

我无法访问其他来源安全资源。搜索了几天的解决方案，但没有找到，所以我在这里发布问题。

public interface GreetingRepository extends JpaRepository<Greeting, Long>, JpaSpecificationExecutor<Greeting> {}

@Configuration 
public class GlobalRepositoryRestConfigurer extends RepositoryRestConfigurerAdapter {

@Override
public void configureRepositoryRestConfiguration(RepositoryRestConfiguration config) {
    config.getCorsRegistry()
            .addMapping("/**")
            .allowedOrigins("*")
            .allowedHeaders("*")
            .allowedMethods("*");
}
}

而且起作用了。第二个应用程序将带有方法GET的HTTP请求发送到HTTP://localhost:8080/api/greetings，并得到带有Json数据的响应，报头为access-control-allow-origin:*。一切都很好.

但是.

然后我想在第一个应用程序中保护我的资源。在那里，我包含了spring-boot-starter-security依赖项，并在WebSecurityConfigurerAdapter中进行了配置：

@EnableWebSecurity 
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
UserDetailsService myUserDetailsService;

@Autowired
PasswordEncoder myPasswordEncoder;

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin().permitAll()
            .and()
            .httpBasic()
            .and()
            .csrf().disable();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(myUserDetailsService).passwordEncoder(myPasswordEncoder);
}

@Bean
public UserDetailsService createBeanUserDetailService() {
    return new MyUserDetailsService();
}

@Bean
public PasswordEncoder createBeanPasswordEncoder() {
    return new BCryptPasswordEncoder();
}
}

Answer 1

启用Spring security时，安全筛选器优先于corsfilter。要使Spring Security知道您的CORS配置，请在HttpSecurity安装程序中调用CORS()方法。

@Override
protected void configure(HttpSecurity http) throws Exception {
  http
        .cors()
        .and()
        .authorizeRequests()
        .anyRequest().authenticated()
        .and()
        .formLogin().permitAll()
        .and()
        .httpBasic()
        .and()
        .csrf().disable();
}

这将使corsfilter优先于其他Spring Security过滤器。corsfilter识别CORS预飞行请求（HTTP选项调用），并允许它在没有任何安全性的情况下通过。