spring boot security 跨域配置

背景

已拦截跨源请求：同源策略禁止读取位于 http*****的远程资源。（缘由：CORS 头缺乏 'Access-Control-Allow-Origin'）。

缘由

CORS通常不须要在浏览器配置，浏览器发现此次跨源AJAX请求是简单请求，就自动在头信息之中，添加一个Origin字段，Origin字段用来讲明，本次请求来自哪一个源（协议 + 域名 + 端口）。
服务器根据这个值，决定是否赞成此次请求，也就是说服务器会存在一份白名单，说明哪一些源是能够被容许的，而Access-Control-Allow-Origin就是包含在回应头里的白名单。
浏览器发现，这个回应的头信息没有包含Access-Control-Allow-Origin字段，就知道出错了，从而抛出一个错误，也就是你遇到的提示，是返回结果被浏览器拦截了，而不是请求发不出。
因此你须要的是在服务器上配置这个白名单，而不是更改页面

解决方案

1. WebMvcConfigurerAdapter

@Configuration
public class WebConfiguration extends WebMvcConfigurerAdapter {
    /**
     * 跨域配置
     *
     * @param registry 注册器
     */
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**").allowedHeaders("*").allowedOrigins("*");
    }
}

2. 从新定义FilterRegistrationBean

@Configuration
public class MyConfiguration {

    @Bean
    public FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOrigin("http://domain1.com");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/**", config);
        FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));
        bean.setOrder(0);
        return bean;
    }
}

CORS with Spring Security

项目采用了Spring Security，则还须要加如下配置

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            //容许跨域
            .cors().and()
            ...
    }
}

参考：

https://www.jianshu.com/p/87e1ef68794c

http://www.saily.top/2016/12/29/spring-security-cors/