知識庫 / Spring RSS 訂閱

1. 概述

在任何現代瀏覽器中，跨源資源共享 (CORS) 規範與 HTML5 和通過 REST API 消費數據的 JS 客户端的出現而相關。

通常，提供 JS 的主機（例如 example.com）與提供數據的主機（例如 api.example.com）不同。在這種情況下，CORS 允許跨域通信。

Spring 提供了對 CORS 的一流 支持，提供了一種簡單而強大的配置方法，可用於在任何 Spring 或 Spring Boot Web 應用程序中配置 CORS。

2. 控制器方法 CORS 配置

啓用 CORS 非常簡單 — 只需要添加註解 。

2.1. 在帶有 <em @RequestMapping- 註解的 Handler 方法上使用 <em @CrossOrigin

@RestController
@RequestMapping("/account")
public class AccountController {

    @CrossOrigin
    @RequestMapping(method = RequestMethod.GET, path = "/{id}")
    public Account retrieve(@PathVariable Long id) {
        // ...
    }

    @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

在上面的示例中，我們僅啓用了 CORS 對於 retrieve() 方法。我們可以看到，我們沒有為 @CrossOrigin 註解設置任何配置，因此它使用了默認值：

• 所有來源均被允許。
• 允許的 HTTP 方法是 @RequestMapping 註解中指定的（GET，在本示例中）。
• 預檢響應緩存的時間（maxAge）為 30 分鐘。

2.2. 在控制器上使用 <em @CrossOrigin

@CrossOrigin(origins = "http://example.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

    @RequestMapping(method = RequestMethod.GET, path = "/{id}")
    public Account retrieve(@PathVariable Long id) {
        // ...
    }

    @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

本次，我們已在類級別添加了 @CrossOrigin 註解。因此，retrieve() 和 remove() 方法均已啓用。可以通過指定註解屬性的值（例如 origins、methods、allowedHeaders、exposedHeaders、allowCredentials 或 maxAge）來自定義配置。

2.3. @CrossOrigin on Controller and Handler Method

@CrossOrigin(maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

    @CrossOrigin("http://example.com")
    @RequestMapping(method = RequestMethod.GET, "/{id}")
    public Account retrieve(@PathVariable Long id) {
        // ...
    }

    @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

Spring 將會結合兩個註解的屬性以創建合併的 CORS 配置。

在這裏，兩個方法都將具有 3,600 秒的 maxAge，remove() 方法允許所有來源，而retrieve() 方法僅允許來自 http://example.com 的來源。

3. 全局 CORS 配置

作為一種替代方案，Spring 允許我們通過控制器定義全局 CORS 配置。這類似於使用基於 Filter 的解決方案，但可以在 Spring MVC 中聲明，並與精細的 @CrossOrigin 配置結合使用。

默認情況下，允許所有源頭和 GET、HEAD 和 POST 方法。

3.1. JavaConfig

@Configuration
@EnableWebMvc
public class WebConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**");
    }
}

上述示例允許從任何源頭嚮應用程序中的任何端點發起 CORS 請求。

為了進一步限制，registry.addMapping 方法返回一個 CorsRegistration 對象，我們可以利用它進行額外的配置。 此外，還有一個 allowedOrigins 方法，允許我們指定允許的源列表。 這在我們需要在運行時從外部源加載此數組時非常有用。

此外，還有 allowedMethods、allowedHeaders、exposedHeaders、maxAge 和 allowCredentials 等方法，可用於設置響應頭和自定義選項。 例如，我們可以通過將 allowedMethods(“*”) 添加到上述配置中，來允許任何 HTTP 方法通過 CORS。

值得注意的是，自 2.4.0 版本以來，Spring Boot 引入了 allowedOriginPatterns，除了 allowedOrigins，提供了更大的靈活性。 此外，當 allowCredentials 為 true 時，allowedOrigins 不能包含特殊值 ‘*’，因為這無法設置在 Access-Control-Allow-Origin 響應頭中。 為了解決此問題並允許憑據設置為一組源，我們可以顯式列出它們，或者考慮使用 allowedOriginPatterns。

3.2. XML 命名空間

這段最小的 XML 配置允許在 路徑模式上啓用 CORS，並具有與 JavaConfig 一樣默認的屬性：

<mvc:cors>
    <mvc:mapping path="/**" />
</mvc:cors>

<mvc:cors>

    <mvc:mapping path="/api/**"
        allowed-origins="http://domain1.com, http://domain2.com"
        allowed-methods="GET, PUT"
        allowed-headers="header1, header2, header3"
        exposed-headers="header1, header2" allow-credentials="false"
        max-age="123" />

    <mvc:mapping path="/resources/**"
        allowed-origins="http://domain1.com" />

</mvc:cors>

@EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.cors().and()...
    }
}

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("*"));
    configuration.setAllowedMethods(Arrays.asList("*"));
    configuration.setAllowedHeaders(Arrays.asList("*"));
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}