spring boot security 跨域配置

最新推荐文章于 2025-05-11 14:11:29 发布

chijiantui5894

最新推荐文章于 2025-05-11 14:11:29 发布

阅读量972

点赞数

CC 4.0 BY-SA版权

文章标签： java

原文链接：https://my.oschina.net/u/1161526/blog/3066898

本文详细解析了CORS跨域请求错误的原因，即服务器响应头缺失'Access-Control-Allow-Origin'字段，导致浏览器根据同源策略拦截请求。提供了三种解决方案，包括使用WebMvcConfigurerAdapter进行跨域配置、重新定义FilterRegistrationBean以及在SpringSecurity项目中添加CORS支持。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

背景

已拦截跨源请求：同源策略禁止读取位于 http*****的远程资源。（原因：CORS 头缺少 'Access-Control-Allow-Origin'）。

原因

 CORS一般不需要在浏览器配置，浏览器发现这次跨源AJAX请求是简单请求，就自动在头信息之中，添加一个Origin字段，Origin字段用来说明，本次请求来自哪个源（协议 + 域名 + 端口）。
服务器根据这个值，决定是否同意这次请求，也就是说服务器会存在一份白名单，说明哪一些源是可以被允许的，而Access-Control-Allow-Origin就是包含在回应头里的白名单。
浏览器发现，这个回应的头信息没有包含Access-Control-Allow-Origin字段，就知道出错了，从而抛出一个错误，也就是你遇到的提示，是返回结果被浏览器拦截了，而不是请求发不出。
所以你需要的是在服务器上配置这个白名单，而不是更改页面

解决方案

WebMvcConfigurerAdapter

@Configuration
public class WebConfiguration extends WebMvcConfigurerAdapter {
    /**
     * 跨域配置
     *
     * @param registry 注册器
     */
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**").allowedHeaders("*").allowedOrigins("*");
    }
}

重新定义FilterRegistrationBean

@Configuration
public class MyConfiguration {

    @Bean
    public FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOrigin("http://domain1.com");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/**", config);
        FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));
        bean.setOrder(0);
        return bean;
    }
}

CORS with Spring Security

项目采用了Spring Security，则还需要加以下配置

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            //允许跨域
            .cors().and()
            ...
    }
}

参考：

https://www.jianshu.com/p/87e1ef68794c

http://www.saily.top/2016/12/29/spring-security-cors/

转载于:https://my.oschina.net/u/1161526/blog/3066898