当前位置： 首页 > news >正文

SpringBoot设置跨域的几种方式

news 2025/8/10 3:22:33

这篇文章资料来自于网络，对部分知识整理，这里只是记录一下，仅供参考

一、为什么会出现跨域问题

        出于浏览器的同源策略限制。同源策略（Sameoriginpolicy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。

        同源策略会阻止一个域的javascript脚本和另外一个域的内容进行交互。所谓同源（即指在同一个域）就是两个页面具有相同的协议（protocol），主机（host）和端口号（port）

二、什么是跨域

来源是

URL的结构是这样的，在这个URL的组成部分中，Origin是指协议、主机和端口号的组合，例如:80、443。

CORS 的出现是因为来源不同。
  • 也就是说，必须遵守 SOP。-> 这意味着该政策只允许相同的来源。
  • 过去，出于安全考虑，严格只允许来自同一来源的通信，但最近，从不同来源获取和使用资源变得非常普遍，因此创建了作为 SOP 例外的 CORS 策略。

当一个请求url的协议、域名、端口三者之间任意一个与当前页面url不同即为跨域

三、非同源限制

  1. 无法读取非同源网页的 Cookie、LocalStorage 和 IndexedDB
  2. 无法接触非同源网页的 DOM
  3. 无法向非同源地址发送 AJAX 请求

四、java 后端 实现 CORS 跨域请求的方式

对于 CORS的跨域请求，主要有以下几种方式可供选择：

  1. 返回新的CorsFilter
  2. 重写 WebMvcConfigurer
  3. 使用注解 @CrossOrigin
  4. 手动设置响应头 (HttpServletResponse)
  5. 自定web filter 实现跨域

注意:

  • CorFilter / WebMvConfigurer / @CrossOrigin 需要 SpringMVC 4.2以上版本才支持，对应springBoot 1.3版本以上
  • 上面前两种方式属于全局 CORS 配置，后两种属于局部 CORS配置。如果使用了局部跨域是会覆盖全局跨域的规则，所以可以通过 @CrossOrigin 注解来进行细粒度更高的跨域资源控制。
  • 其实无论哪种方案，最终目的都是修改响应头，向响应头中添加浏览器所要求的数据，进而实现跨域

1.返回新的 CorsFilter(全局跨域)

Spring Boot 基础就不介绍了，推荐下这个实战教程：

https://github.com/javastacks/spring-boot-best-practice

在任意配置类，返回一个 新的 CorsFIlter Bean ，并添加映射路径和具体的CORS配置路径。

@Configuration
public class GlobalCorsConfig {@Beanpublic CorsFilter corsFilter() {//1. 添加 CORS配置信息CorsConfiguration config = new CorsConfiguration();//放行哪些原始域//config.addAllowedOrigin("*");config.addAllowedOriginPattern("*");//是否发送 Cookieconfig.setAllowCredentials(true);//放行哪些请求方式config.addAllowedMethod("*");//放行哪些原始请求头部信息config.addAllowedHeader("*");//暴露哪些头部信息config.addExposedHeader("*");//2. 添加映射路径UrlBasedCorsConfigurationSource corsConfigurationSource = new UrlBasedCorsConfigurationSource();corsConfigurationSource.registerCorsConfiguration("/**",config);//3. 返回新的CorsFilterreturn new CorsFilter(corsConfigurationSource);}
}


import org.springframework.boot.SpringBootConfiguration;
import org.springframework.context.annotation.Bean;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;/*** @Description */
@SpringBootConfiguration
public class WebGlobalConfig {@Beanpublic CorsFilter corsFilter() {//创建CorsConfiguration对象后添加配置CorsConfiguration config = new CorsConfiguration();//设置放行哪些原始域config.addAllowedOrigin("*");//放行哪些原始请求头部信息config.addAllowedHeader("*");//暴露哪些头部信息config.addExposedHeader("*");//放行哪些请求方式config.addAllowedMethod("GET");     //getconfig.addAllowedMethod("PUT");     //putconfig.addAllowedMethod("POST");    //postconfig.addAllowedMethod("DELETE");  //delete//corsConfig.addAllowedMethod("*");     //放行全部请求//是否发送Cookieconfig.setAllowCredentials(true);//2. 添加映射路径UrlBasedCorsConfigurationSource corsConfigurationSource =new UrlBasedCorsConfigurationSource();corsConfigurationSource.registerCorsConfiguration("/**", config);//返回CorsFilterreturn new CorsFilter(corsConfigurationSource);}
}

        如果你使用的是高版本SpringBoot2.4.4则需要改动一下，否则后台报错

java.lang.IllegalArgumentException: When allowCredentials is true, allowedOrigins cannot contain the special value "*" since that cannot be set on the "Access-Control-Allow-Origin" response header. To allow credentials to a set of origins, list them explicitly or consider using "allowedOriginPatterns" instead.

        当allowCredentials为true时，alloedOrigins不能包含特殊值“*”，因为该值不能在“Access-Control-Allow-Origin”响应头部中设置。要允许凭据访问一组来源，请显式列出它们或考虑改用“AllowedOriginPatterns”。

解决：把 config.addAllowedOrigin("*"); 替换成 config.addAllowedOriginPattern("*");

2.重写WebMvcConfigurer（全局跨域）

import org.springframework.boot.SpringBootConfiguration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Description*/
@SpringBootConfiguration
public class CorsConfig implements WebMvcConfigurer {@Overridepublic void addCorsMappings(CorsRegistry registry) {//添加映射路径registry.addMapping("/**")//是否发送Cookie.allowCredentials(true)//设置放行哪些原始域   SpringBoot2.4.4下低版本使用.allowedOrigins("*")    .allowedOriginPatterns("*")//放行哪些请求方式.allowedMethods(new String[]{"GET", "POST", "PUT", "DELETE"})//.allowedMethods("*") //或者放行全部//放行哪些原始请求头部信息.allowedHeaders("*")//暴露哪些原始请求头部信息.exposedHeaders("*");}
}

3. 使用注解 (局部跨域)

在控制器(类上)上使用注解 @CrossOrigin:，表示该类的所有方法允许跨域。

@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface CrossOrigin {//这origins和value是一样的//允许来源域名的列表，例如 'www.jd.com'，匹配的域名是跨域预请求 Response 头中的'Access-Control-Aloow_origin' //字段值。不设置确切值时默认支持所有域名跨域访问。@AliasFor("origins")String[] value() default {};@AliasFor("value")String[] origins() default {};//高版本下Spring2.4.4使用originPatterns 而不是value 和 originsString[] originPatterns() default {};//跨域请求中允许的请求头中的字段类型， 该值对应跨域预请求 Response 头中的 'Access-Control-Allow-Headers' 字段值。//不设置确切值默认支持所有的header字段（Cache-Controller、Content-Language、Content-Type、//Expires、Last-Modified、Pragma）跨域访问String[] allowedHeaders() default {};//跨域请求请求头中允许携带的除Cache-Controller、Content-Language、Content-Type、Expires、Last-Modified、//Pragma这六个基本字段之外的其他字段信息，对应的是跨域请求 Response 头中的 'Access-control-Expose-Headers'字段值String[] exposedHeaders() default {};//跨域HTTP请求中支持的HTTP请求类型（GET、POST...），不指定确切值时默认与 Controller 方法中的 methods 字段保持一致。RequestMethod[] methods() default {};//该值对应的是是跨域请求 Response 头中的 'Access-Control-Allow-Credentials' 字段值。//浏览器是否将本域名下的 cookie 信息携带至跨域服务器中。默认携带至跨域服务器中，但要实现 cookie //共享还需要前端在 AJAX 请求中打开 withCredentials 属性。String allowCredentials() default "";//该值对应的是是跨域请求 Response 头中的 'Access-Control-Max-Age' 字段值，表示预检请求响应的缓存持续的最大时间，//目的是减少浏览器预检请求/响应交互的数量。默认值1800s。设置了该值后，浏览器将在设置值的时间段内对该跨域请求不再发起预请求long maxAge() default -1;
}

@RestController
@CrossOrigin(origins = "*")
public class HelloController {@RequestMapping("/hello")public String hello() {return "hello world";}
}

Spring Boot 系列最全教程看这里：springboot_Java技术栈

在方法上使用注解 @CrossOrigin:

@RequestMapping("/hello")
@CrossOrigin(origins = "*")//@CrossOrigin(value = "http://localhost:8081") //指定具体ip允许跨域
public String hello() {return "hello world";
}

        在控制类中使用@CrossOrigin注解配置value或origins属性，多个域名用逗号隔开，最外层使用{}包裹住。如下：

@RestController
@CrossOrigin(value = {"http://localhost:8081","http://localhost:8082"})
public class MyController {}


注意：value和origins的效果是一样的，当value和origins同时使用时，配置的值不一样会报错!

4. 手动设置响应头(局部跨域)

使用 HttpServletResponse 对象添加响应头(Access-Control-Allow-Origin)来授权原始域，这里 Origin的值也可以设置为 “*”,表示全部放行。

@RequestMapping("/index")
public String index(HttpServletResponse response) {response.addHeader("Access-Allow-Control-Origin","*");return "index";
}

5. 使用自定义filter实现跨域

首先编写一个过滤器，可以起名字为MyCorsFilter.java

package com.mesnac.aop;import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;
import org.springframework.stereotype.Component;
@Component
public class MyCorsFilter implements Filter {public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {HttpServletResponse response = (HttpServletResponse) res;response.setHeader("Access-Control-Allow-Origin", "*");response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE");response.setHeader("Access-Control-Max-Age", "3600");response.setHeader("Access-Control-Allow-Headers", "x-requested-with,content-type");chain.doFilter(req, res);}public void init(FilterConfig filterConfig) {}public void destroy() {}
}

在web.xml中配置这个过滤器，使其生效

<!-- 跨域访问 START-->
<filter><filter-name>CorsFilter</filter-name><filter-class>com.mesnac.aop.MyCorsFilter</filter-class>
</filter>
<filter-mapping><filter-name>CorsFilter</filter-name><url-pattern>/*</url-pattern>
</filter-mapping>
<!-- 跨域访问 END  -->

五、工作原理

CORS 请求会自动调度给各种已注册的 HandlerMapping。它们处理 CORS 预检请求，并使用 CorsProcessor 实现（默认为 DefaultCorsProcessor）拦截 CORS 简单和实际请求，以添加相关的 CORS 响应头（如 Access-Control-Allow-Origin）。

CorsConfiguration 允许我们指定如何处理 CORS 请求，包括允许的 origin、header 和方法等。我们可以通过多种方式提供它：

  • 通过 AbstractHandlerMapping#setCorsConfiguration()，我们可以指定一个映射到路径模式（如 /api/**）上的 Map，其中包含多个 CorsConfiguration。
  • 子类可以通过覆盖 AbstractHandlerMapping#getCorsConfiguration(Object, HttpServletRequest) 方法来提供自己的 CorsConfiguration。
  • Handler 可以实现 CorsConfigurationSource 接口（就像现在的 ResourceHttpRequestHandler 一样），为每个请求提供一个 CorsConfiguration。

六、参考

SpringBoot设置跨域的几种方式_controller 实现跨越-CSDN博客

SpringBoot解决跨域的三种方式 - 蚂蚁小哥 - 博客园

在 Spring 应用中处理 CORS 跨域 - spring 中文网

strict-origin-when-cross-origin 403 异常解决-CSDN博客

http://www.dtcms.com/a/318553.html

相关文章：

  • 互斥锁与条件变量
  • 每日五个pyecharts可视化图表-bars（5）
  • Java语言基础深度面试题
  • List、ArrayList 与顺序表
  • 智能学号抽取系统 V5.7.4 更新报告：修复关键同步漏洞，体验更臻完美
  • Spring Boot 项目代码笔记
  • 三、Istio流量治理（二）
  • 文件权限合规扫描针对香港服务器安全基线的实施流程
  • 《零基础入门AI：深度学习入门（从PyTorch安装到自动微分）》
  • Anthropic于本周一推出了其旗舰模型的升级版Claude Opus 4.1
  • 《第十三篇》深入解析 `kb_api.py`：知识库的创建、删除与查询接口
  • 基于Vue 3 的智能支付二维码弹窗组件设计与实现
  • Effective C++ 条款26: 尽可能延后变量定义式的出现时间
  • 007 前端( JavaScript HTML DOM+Echarts）
  • 【保留小数精度不舍入】2022-10-8
  • MaxKB 使用 MCP 连接 Oracle (免安装 cx_Oracle 和 Oracle Instant Client)
  • 智慧水务管理系统
  • C++、STL面试题总结（二）
  • 三、Envoy的管理接口
  • 数据科学与计算pandas
  • 沉寂半年，Kimi归来！
  • 地铁和城市宏基因组项目metaSUB
  • 脂质体转染、物理转染（电穿孔）与病毒转染：原理及操作步骤详解
  • nlp-词汇分析
  • 【Dify学习笔记】：Dify搭建表单信息提交系统
  • windows系统创建ubuntu系统
  • C++线程中 detach() 和 join() 的区别
  • hf的国内平替hf-mirror
  • AT32的freertos下modbus TCP移植
  • cdn是什么