由于标准标头，CORS飞行前请求失败

Question

在html" target="_blank">调试我遇到的CORS问题时，我发现了以下行为。Chrome发出以下选项预检请求（由Chrome本身在CURL中重写）：

curl -v 'https://www.example.com/api/v1/users' -X OPTIONS -H 'Access-Control-Request-Method: POST' -H 'Origin: http://example.com' -H 'Accept-Encoding: gzip,deflate,sdch' -H 'Accept-Language: es-ES,es;q=0.8,en;q=0.6' -H 'User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36' -H 'Accept: */*' -H 'Referer: http://example.com/users/new' -H 'Connection: keep-alive' -H 'Access-Control-Request-Headers: accept, x-api-key, content-type'

以下情况下服务器对此请求的响应：

< HTTP/1.1 403 Forbidden
< Date: Thu, 21 Jul 2016 14:16:56 GMT
* Server Apache/2.4.7 (Ubuntu) is not blacklisted
< Server: Apache/2.4.7 (Ubuntu)
< X-Content-Type-Options: nosniff
< X-XSS-Protection: 1; mode=block
< Cache-Control: no-cache, no-store, max-age=0, must-revalidate
< Pragma: no-cache
< Expires: 0
< Strict-Transport-Security: max-age=31536000 ; includeSubDomains
< X-Frame-Options: SAMEORIGIN
< Allow: GET, HEAD, POST, PUT, DELETE, TRACE, OPTIONS, PATCH
< Content-Length: 20
< Keep-Alive: timeout=5, max=100
< Connection: Keep-Alive

是响应“无效CORS请求”的主体。如果我重复该请求，删除标头“Access Control request Method”（仅该标头），则OPTIONS请求将成功，并得到以下响应：

< HTTP/1.1 200 OK
< Date: Thu, 21 Jul 2016 14:21:27 GMT
* Server Apache/2.4.7 (Ubuntu) is not blacklisted
< Server: Apache/2.4.7 (Ubuntu)
< X-Content-Type-Options: nosniff
< X-XSS-Protection: 1; mode=block
< Cache-Control: no-cache, no-store, max-age=0, must-revalidate
< Pragma: no-cache
< Expires: 0
< Strict-Transport-Security: max-age=31536000 ; includeSubDomains
< X-Frame-Options: SAMEORIGIN 
< Access-Control-Allow-Headers: origin, content-type, accept, x-requested-with, x-api-key
< Access-Control-Max-Age: 60
< Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS
< Access-Control-Allow-Origin: *
< Allow: GET, HEAD, POST, PUT, DELETE, TRACE, OPTIONS, PATCH
< Content-Length: 0
< Keep-Alive: timeout=5, max=100
< Connection: Keep-Alive

然而，有问题的头是CORS规范标准头，所以它不应该阻止请求成功，对吗？为什么此标题会导致此类行为？

当使用Chrome时，如何调整服务器发送的访问控制头以使请求生效？

顺便说一下，我使用的是Chrome 36.0，服务器使用的是Spring Boot，CORS头由Spring管理。

当Firefox（v47.0）发出请求时，行为会有所不同，但会产生类似的结果。Firefox甚至不发送飞行前的请求，而是直接发送飞行后的请求，后者收到403禁止的响应。但是，如果我使用“copy as cURL”选项复制请求，并从终端窗口重复它，则它会成功并在响应中发送正确的CORS头。

有什么想法吗？

更新：Firefox确实发送了预检OPTIONS请求（如Live HTTP标头插件所示），但Firebug掩盖了它，因此两种浏览器中的行为完全相同。在两种浏览器中，是“Access控制请求方法”标头，这是导致请求失败的区别。

Answer 1

我有同样的问题。我通过在Spring MVC配置中向允许的CORS方法添加“选项”来解决它。

@Configuration
@EnableWebMvc
@ComponentScan
public class RestApiServletConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        super.addCorsMappings(registry);
        registry.addMapping("/**")
                .allowedOrigins("http://localhost:3000", "http://localhost:8080")
                .allowedMethods("GET", "PUT", "POST", "DELETE", "OPTIONS");
    }
}

Answer 2

我也遇到了同样的问题，并找到了在Spring boot中启用全局cors问题的解决方案

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**").allowedMethods("GET", "POST", "PUT", "DELETE").allowedOrigins("*")
                .allowedHeaders("*");
    }
}

在此之后，我们还需要在Spring Security级别中启用CORS，因此为此，在SecurityConfiguration类中添加CORS（），扩展WebSecurity配置适配器

 @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {

        httpSecurity
                .cors()
                .and()
                .csrf().disable()
                .authorizeRequests()..

    }

Answer 3

经过一番努力，我终于找到了问题所在。我在Spring中配置了一个请求映射来处理选项流量，如下所示：

@RequestMapping(value= "/api/**", method=RequestMethod.OPTIONS)
public void corsHeaders(HttpServletResponse response) {
    response.addHeader("Access-Control-Allow-Origin", "*");
    response.addHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
    response.addHeader("Access-Control-Allow-Headers", "origin, content-type, accept, x-requested-with");
    response.addHeader("Access-Control-Max-Age", "3600");
}

我不知道Spring默认使用一个默认的CORS处理器，它似乎干扰了我的请求映射。删除我的请求映射并将@CrossOrigin注释添加到相应的请求映射中，解决了这个问题。