SpringBoot 跨域问题的解决方案

什么是跨域？

定义：浏览器从一个域名的网页取请求另一个域名下的东西。通俗点说，浏览器直接从a域访问b域中的资源是不被允许的，如果想要访问，就需要进行一步操作，这操作就叫“跨域”。例如，你从百度的页面，点击一个按钮，请求了新浪的一个接口，这就进行了跨域。不单单只有域名不同就是跨域，域名、端口、协议其一不同就是不同的域，请求资源需要跨域。

为什么要跨域？

为什么需要跨域，而不直接访问其他域下的资源呢？这是浏览器的限制，专业点说叫浏览器同源策略限制。主要是为了安全考虑。现在的安全框架，一般请求的时候header中不是都存个token嘛，你要是用这个token去正常访问a域下的东西是没问题的，然后又去访问了b域，结果阴差阳错的还带着这个token，那么b域，或者说b网站是不是就可以拿着你的token去a域下做点什么呢，这就相当危险了。所以浏览器加上了所谓的浏览器同源策略限制。但是为了我们真的需要从a域下访问b的资源（正常访问），就需要用到跨域，跨越这个限制了。

springboot解决跨域问题

springboot可以基于cors解决跨域问题，cors是一种机制，告诉我们的后台，哪边（origin ）来的请求可以访问服务器的数据。
全局配置

配置实例如下：

@configuration
public class corsconfig implements webmvcconfigurer {

  @override
  public void addcorsmappings(corsregistry registry) {
    registry.addmapping("/**")
      .allowedorigins("*")
      .allowcredentials(true)
      .allowedmethods("get", "post", "put", "delete", "options")
      .maxage(3600);
  }
}

首先实现了webmvcconfigurer 接口，webmvcconfigurer 这个接口十分强大，里面还有很多可用的方法，在springboot2.0里面可以解决webmvcconfigureradapter曾经的部分任务。其中一个方法就是addcorsmappings()，是专门为开发人员解决跨域而诞生的接口。其中构造参数为corsregistry。

看下corsregistry源码，十分简单：

public class corsregistry {

  private final list<corsregistration> registrations = new arraylist<>();

  public corsregistration addmapping(string pathpattern) {
   corsregistration registration = new corsregistration(pathpattern);
   this.registrations.add(registration);
   return registration;
  }
  
  protected map<string, corsconfiguration> getcorsconfigurations() {
   map<string, corsconfiguration> configs = new linkedhashmap<>(this.registrations.size());
   for (corsregistration registration : this.registrations) {
     configs.put(registration.getpathpattern(), registration.getcorsconfiguration());
   }
   return configs;
  }

} 

可以看出corsregistry 有个属性registrations ，按道理可以根据不同的项目路径进行定制访问行为，但是我们示例直接将pathpattern 设置为 /**，也就是说已覆盖项目所有路径，只需要创建一个corsregistration就好。getcorsconfigurations(),这个方法是获取所有corsconfiguration的map集合，key值为传入路径pathpattern。

回到示例代码corsconfig中，registry对象addmapping()增加完传入路径pathpattern之后，return了一个corsregistration对象，是进行更多的配置，看一下corsregistration的代码，看看我们能配些什么？

public class corsregistration {
  //传入的路径
  private final string pathpattern;
  //配置信息实体类
  private final corsconfiguration config;
  //构造方法
  public corsregistration(string pathpattern) {
   this.pathpattern = pathpattern;
   //原生注释看到了一个 @crossorigin 这个注解，待会看看是什么
   // same implicit default values as the @crossorigin annotation + allows simple methods
   this.config = new corsconfiguration().applypermitdefaultvalues();
  }
  //允许哪些源网站访问，默认所有
  public corsregistration allowedorigins(string... origins) {
   this.config.setallowedorigins(arrays.aslist(origins));
   return this;
  }
  //允许何种方式访问，默认简单方式，即：get，head，post
  public corsregistration allowedmethods(string... methods) {
   this.config.setallowedmethods(arrays.aslist(methods));
   return this;
  }
  //设置访问header，默认所有
  public corsregistration allowedheaders(string... headers) {
   this.config.setallowedheaders(arrays.aslist(headers));
   return this;
  }
  //设置response headers，默认没有（什么都不设置）
  public corsregistration exposedheaders(string... headers) {
   this.config.setexposedheaders(arrays.aslist(headers));
   return this;
  }
  //是否浏览器应该发送credentials，例如cookies access-control-allow-credentials
  public corsregistration allowcredentials(boolean allowcredentials) {
   this.config.setallowcredentials(allowcredentials);
   return this;
  }
  //设置等待时间，默认1800秒
  public corsregistration maxage(long maxage) {
   this.config.setmaxage(maxage);
   return this;
  }

  protected string getpathpattern() {
   return this.pathpattern;
  }

  protected corsconfiguration getcorsconfiguration() {
   return this.config;
  }

}

局部配置

刚才遇到一个@crossorigin这个注解，看看它是干什么的？

@target({ elementtype.method, elementtype.type })
@retention(retentionpolicy.runtime)
@documented
public @interface crossorigin {

  /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */
  @deprecated
  string[] default_origins = { "*" };

  /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */
  @deprecated
  string[] default_allowed_headers = { "*" };

  /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */
  @deprecated
  boolean default_allow_credentials = false;

  /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */
  @deprecated
  long default_max_age = 1800

  /**
  * alias for {@link #origins}.
  */
  @aliasfor("origins")
  string[] value() default {};

  @aliasfor("value")
  string[] origins() default {};

  string[] allowedheaders() default {};

  string[] exposedheaders() default {};

  requestmethod[] methods() default {};

  string allowcredentials() default "";

  long maxage() default -1;
}

这个注解可以作用于方法或者类上，实现局部跨域，你会发现除了设置路径（因为没必要了，都定位到局部了）其他的参数与全局类似。

小结

springboot可以基于cors解决跨域问题，可以设置全局跨域，也可以实现局部跨域，灵活配置方便使用。

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持。