如何将CORS头添加到BasicErrorController呈现的Spring错误页面？

Question

我有一个单页客户端，由Spring Boot REST MVC API应用程序（Spring Boot版本1.5.2）提供服务。

我的应用程序通过Auth0 JWT令牌进行保护。当一切正常时，响应的CORS头由ServletFilter提供，该过滤器作为设置安全性的一部分进行配置：

  protected void configure(HttpSecurity http) throws Exception {
    ...
    http.addFilterBefore(simpleCORSFilter(), Auth0AuthenticationFilter.class);
    ...
  }

到目前为止，这似乎在我测试它的任何地方都可以使用，但有一个地方它不起作用，那就是默认的Spring错误页面（路径“/错误”，默认情况下由BasicErrorController类呈现）。

当我的服务方法中出现异常时，错误页面会工作，并在响应体中将我想要的内容呈现为JSON，但客户端应用程序无法访问http响应体，因为响应缺少CORS头。

所以问题是：“如何将CORS标头添加到错误页面”？

我是否应该从安全设置中删除CORS筛选器，并在更全局范围内应用CORS筛选器？我在Spring文档中找不到任何相关内容。

或者我应该编写一个自定义错误控制器？留档中自定义错误控制器的唯一示例似乎允许您返回一个字符串。




Answer 1

结合Poorvi的答案和Joni Karppinen的自定义错误控制器代码，可以得出：

@RestController
public class ErrorController 
implements org.springframework.boot.autoconfigure.web.ErrorController 
{
  private static final String PATH = "/error";

  @Autowired private ErrorAttributes errorAttributes;

  @Override
  public String getErrorPath(){
    return PATH;
  }

  // I guess when time comes to lock down cors header, we could use a spring 
  // value configuration here to share with corsfilter.
  @CrossOrigin("*")  
  @RequestMapping(value = PATH, produces = "application/json")
  public @ResponseBody
  ErrorJson error(HttpServletRequest request, HttpServletResponse response){
    return new ErrorJson(
      response.getStatus(), 
      getErrorAttributes(request, false) );
  }

  private Map<String, Object> getErrorAttributes(
    HttpServletRequest request,
    boolean includeStackTrace
  ){
    RequestAttributes requestAttributes = new ServletRequestAttributes(request);
    return errorAttributes.getErrorAttributes(
      requestAttributes,
      includeStackTrace);
  }  

}

class ErrorJson {

  public Integer status;
  public String error;
  public String message;
  public String timeStamp;
  public String trace;

  public ErrorJson(int status, Map<String, Object> errorAttributes){
    this.status = status;
    this.error = (String) errorAttributes.get("error");
    this.message = (String) errorAttributes.get("message");
    this.timeStamp = errorAttributes.get("timestamp").toString();
    this.trace = (String) errorAttributes.get("trace");
  }

}

这似乎对我很有用。

Answer 2

您可以为错误定义单独的控制器，并允许使用

@CrossOrigin("*")