SpringBoot 跨域问题的解决方案
什么是跨域?
定义:浏览器从一个域名的网页取请求另一个域名下的东西。通俗点说,浏览器直接从a域访问b域中的资源是不被允许的,如果想要访问,就需要进行一步操作,这操作就叫“跨域”。例如,你从百度的页面,点击一个按钮,请求了新浪的一个接口,这就进行了跨域。不单单只有域名不同就是跨域,域名、端口、协议其一不同就是不同的域,请求资源需要跨域。
为什么要跨域?
为什么需要跨域,而不直接访问其他域下的资源呢?这是浏览器的限制,专业点说叫浏览器同源策略限制。主要是为了安全考虑。现在的安全框架,一般请求的时候header中不是都存个token嘛,你要是用这个token去正常访问a域下的东西是没问题的,然后又去访问了b域,结果阴差阳错的还带着这个token,那么b域,或者说b网站是不是就可以拿着你的token去a域下做点什么呢,这就相当危险了。所以浏览器加上了所谓的浏览器同源策略限制。但是为了我们真的需要从a域下访问b的资源(正常访问),就需要用到跨域,跨越这个限制了。
springboot解决跨域问题
springboot可以基于cors解决跨域问题,cors是一种机制,告诉我们的后台,哪边(origin )来的请求可以访问服务器的数据。
全局配置
配置实例如下:
@configuration public class corsconfig implements webmvcconfigurer { @override public void addcorsmappings(corsregistry registry) { registry.addmapping("/**") .allowedorigins("*") .allowcredentials(true) .allowedmethods("get", "post", "put", "delete", "options") .maxage(3600); } }
首先实现了webmvcconfigurer 接口,webmvcconfigurer 这个接口十分强大,里面还有很多可用的方法,在springboot2.0里面可以解决webmvcconfigureradapter曾经的部分任务。其中一个方法就是addcorsmappings(),是专门为开发人员解决跨域而诞生的接口。其中构造参数为corsregistry。
看下corsregistry源码,十分简单:
public class corsregistry { private final list<corsregistration> registrations = new arraylist<>(); public corsregistration addmapping(string pathpattern) { corsregistration registration = new corsregistration(pathpattern); this.registrations.add(registration); return registration; } protected map<string, corsconfiguration> getcorsconfigurations() { map<string, corsconfiguration> configs = new linkedhashmap<>(this.registrations.size()); for (corsregistration registration : this.registrations) { configs.put(registration.getpathpattern(), registration.getcorsconfiguration()); } return configs; } }
可以看出corsregistry 有个属性registrations ,按道理可以根据不同的项目路径进行定制访问行为,但是我们示例直接将pathpattern 设置为 /**,也就是说已覆盖项目所有路径,只需要创建一个corsregistration就好。getcorsconfigurations(),这个方法是获取所有corsconfiguration的map集合,key值为传入路径pathpattern。
回到示例代码corsconfig中,registry对象addmapping()增加完传入路径pathpattern之后,return了一个corsregistration对象,是进行更多的配置,看一下corsregistration的代码,看看我们能配些什么?
public class corsregistration { //传入的路径 private final string pathpattern; //配置信息实体类 private final corsconfiguration config; //构造方法 public corsregistration(string pathpattern) { this.pathpattern = pathpattern; //原生注释看到了一个 @crossorigin 这个注解,待会看看是什么 // same implicit default values as the @crossorigin annotation + allows simple methods this.config = new corsconfiguration().applypermitdefaultvalues(); } //允许哪些源网站访问,默认所有 public corsregistration allowedorigins(string... origins) { this.config.setallowedorigins(arrays.aslist(origins)); return this; } //允许何种方式访问,默认简单方式,即:get,head,post public corsregistration allowedmethods(string... methods) { this.config.setallowedmethods(arrays.aslist(methods)); return this; } //设置访问header,默认所有 public corsregistration allowedheaders(string... headers) { this.config.setallowedheaders(arrays.aslist(headers)); return this; } //设置response headers,默认没有(什么都不设置) public corsregistration exposedheaders(string... headers) { this.config.setexposedheaders(arrays.aslist(headers)); return this; } //是否浏览器应该发送credentials,例如cookies access-control-allow-credentials public corsregistration allowcredentials(boolean allowcredentials) { this.config.setallowcredentials(allowcredentials); return this; } //设置等待时间,默认1800秒 public corsregistration maxage(long maxage) { this.config.setmaxage(maxage); return this; } protected string getpathpattern() { return this.pathpattern; } protected corsconfiguration getcorsconfiguration() { return this.config; } }
局部配置
刚才遇到一个@crossorigin这个注解,看看它是干什么的?
@target({ elementtype.method, elementtype.type }) @retention(retentionpolicy.runtime) @documented public @interface crossorigin { /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */ @deprecated string[] default_origins = { "*" }; /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */ @deprecated string[] default_allowed_headers = { "*" }; /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */ @deprecated boolean default_allow_credentials = false; /** @deprecated as of spring 5.0, in favor of {@link corsconfiguration#applypermitdefaultvalues} */ @deprecated long default_max_age = 1800 /** * alias for {@link #origins}. */ @aliasfor("origins") string[] value() default {}; @aliasfor("value") string[] origins() default {}; string[] allowedheaders() default {}; string[] exposedheaders() default {}; requestmethod[] methods() default {}; string allowcredentials() default ""; long maxage() default -1; }
这个注解可以作用于方法或者类上,实现局部跨域,你会发现除了设置路径(因为没必要了,都定位到局部了)其他的参数与全局类似。
小结
springboot可以基于cors解决跨域问题,可以设置全局跨域,也可以实现局部跨域,灵活配置方便使用。
以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持。
上一篇: Java递归读取文件例子_动力节点Java学院整理
下一篇: NDK开发(三)--JNI开发流程