Spring security、OAUTH Cors、选项

Question

我在一个应用程序中有一个带有Oauth身份验证和资源服务器的Spring启动应用程序。我的前端在一个单独的服务器上，来自一个单独的位置。我的前端应用程序似乎没有将预检操作进行到后端，后端总是以401响应。我的配置如下所示：

// ... annotations
public class OAuthConfig extends WebSecurityConfigurerAdapter {

    // ... authencication providers

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http
        .csrf().disable()
        .authorizeRequests()
            .antMatchers("/", "/*.html", "layout/**", "/js/**", "/css/**", "/images/**", "/font/**",
                    "/signup", "/register",
                    "/oauth/**")
            .permitAll()
            .and()
                .authorizeRequests()
                .antMatchers(HttpMethod.OPTIONS, "/oauth/**").permitAll()
            ;

        // @formatter:on
    }

    // ... beans
}

请注意，我还必须为静态内容添加例外，因为尽管有任何文档，它似乎无法以其他方式工作。

// ... annotations
public class MvcConfig extends WebMvcConfigurerAdapter {

// ... resource resolver, view resolver

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**");
    }

}

我试图更明确地指定，但也没有成功：

@Override
public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/api/**").allowedMethods("GET","POST","OPTIONS","DELETE","UPDATE");
    registry.addMapping("/register");
    registry.addMapping("/signup");
    registry.addMapping("/oauth/**").allowedMethods("GET","POST","OPTIONS");
}

//... annotations
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    // ... resource id config

    @Override
    public void configure(HttpSecurity http) throws Exception {
        //@formatter:off
        http
        .anonymous().disable()
            .requestMatchers()
            .antMatchers("/api/**")
        .and()
            .authorizeRequests()
            .antMatchers("/api/**").authenticated()
        .and()
            .exceptionHandling().accessDeniedHandler(new OAuth2AccessDeniedHandler());
        //@formatter:on
    }

}

此时，我无法确定是否遗漏了任何重要的配置，以通过身份验证endpoint（以及APIendpoint的其他部分）实现CORS

Answer 1

您还可以在服务器上配置CORS。这将适用于应用程序的所有API。或者在您的请求和响应中设置“Access Control Allow Origin to*”，以便您的api可以响应来自任何服务器的任何请求。

Answer 2

如果您遇到HTTP 401错误，对我来说，这并不意味着CORS配置就是问题所在。401应该意味着未经授权，因此问题可能更多地出现在您的安全配置中。如果是跨源问题，则会出现类似“请求的资源上不存在“Access Control Allow origin”标头”的错误。

事实上，我的一个应用程序在一个由于跨源问题而失败的请求上收到了一个HTTP 200（OK）。

如果您需要帮助，您应该提供有关401错误代码所在的请求/响应的详细信息。

我知道这不是一个真正的答案，但我还没有发表评论的声誉，所以我希望这会有所帮助。