Springboot中如何处理跨域请求

一.什么是跨域?

我们知道Url的一般格式：协议 + 域名（子域名 + 主域名） + 端口号 + 资源地址

比如：

https://www.itquanmingxing.cn:8080/users 是由https + www + itquanmingxing.cn + 8080 + users组成。

只要协议，子域名，主域名，端口号这四项组成部分中有一项不同，就可以认为是不同的域，不同的域之间互相访问资源，就被称之为跨域。

而我们的浏览器默认是不允许跨域请求的，因为它们都使用了同源策略，同源策略是由 Netscape 提出的一个著名的安全策略，它是浏览器最核心也最基本的安全功能，现在所有支持 JavaScript 的浏览器都会使用这个策略。

但是我们在实际开发中，由于各种原因又经常有跨域的需求，比如：现在的前端开发中都是前后端分离的开发模式，数据的获取并非同源；或者A网站是电子商务管理订单，B网站是进销存抓取订单信息后做发货；再比如做单点登录，在A网站登录后，跳转到B网站时不需要再输入用户名密码等。

所以我们怎么解决这个跨域访问的问题呢?

二 什么是CORS

解决跨域请求，主要有JSONP，iframe，window.name,CORS等方式。其中CORS方式是最常用的跨域实现方式，而且是对各种请求方法、各种数据请求类型都是完美支持的。

跨域资源共享(CORS，Cross-origin resource sharing) 是一种机制，它使用额外的 HTTP 头来告诉浏览器 让运行在一个 origin (domain) 上的Web应用被准许访问来自不同源服务器上的指定的资源。当一个资源从与该资源本身所在的服务器不同的域、协议或端口请求一个资源时，资源会发起一个跨域 HTTP 请求。

原理：在服务器端设置允许跨域的请求头，从而实现跨域，服务器设置后前端通过正常的ajax请求即可。

三 Springboot中CORS的使用

CORS从具体的代码实现上来说比较方便，前端几乎不需要写任何代码就可以支持。主要是靠服务端进行配置。

CORS需要浏览器和服务器同时支持。目前所有浏览器都支持该功能，IE浏览器不能低于IE10。

整个CORS通信过程，都是浏览器自动完成，不需要用户参与。对于开发者来说，CORS通信与同源的AJAX通信没有差别，代码完全一样。浏览器一旦发现AJAX请求跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。

因此，实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨域通信。

3.1 创建两个springboot项目

为了方便，创建一个空的project，然后在空的project中创建两个module代表两个不同源的项目。

先创建空的工程：

再创建两个module：

一个取名为provider(被访问的项目)，添加web依赖，一个取名为consumer（发起访问的项目），添加web和thymeleaf依赖。

…

创建出来的项目结果如下:

3.2 添加测试代码

在provider项目中添加：

控制层方法:

在consumer项目中添加：

控制层方法和视图页中的ajax请求

修改consumer访问端口为8080：

3.3 启动项目测试

分别启动这两个项目

会发现由于同源策略的限制，请求无法发送成功。

3.4 使用CORS

好，那我们现在就使用 CORS 在前端代码不做任何修改的情况下，实现跨域。

在provider项目提供的方法上添加

@CrossOrigin(value = "http://localhost:8088")

重新启动项目访问：发现可以成功访问了。

按F12查看请求头信息，发现多了一个允许访问的域。

3.5 全局配置CORS

这个注解可以用在方法上，也可以用在Controller上，但如果每一个方法上都去加注解包括说每个Controller上都去加注解都很麻烦，我们可以通过全局配置一次性解决这个问题。

全局配置只需要在 SpringMVC 的配置类中重写 addCorsMappings 方法即可，方法上就不用加了，代码如下：

package com.example.provider.config;import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;@Configuration
public class ProviderMvcConfig implements WebMvcConfigurer {@Overridepublic void addCorsMappings(CorsRegistry registry) {registry.addMapping("/**")// 项目中的所有接口都支持跨域.allowedOrigins("http://localhost:8088") //允许哪些域能访问我们的跨域资源.allowedMethods("*")//允许的访问方法"POST", "GET", "PUT", "OPTIONS", "DELETE"等.allowedHeaders("*");//允许所有的请求header访问，可以自定义设置任意请求头信息}
}

这里我们的ProviderMvcConfig配置类实现了WebMvcConfigurer接口并且重写了addCorsMappings方法，我们来简单介绍下我们的配置信息
addMapping：配置可以被跨域的路径，可以任意配置，可以具体到直接请求路径。
allowedOrigins：允许哪些域名可以访问我们的跨域资源，可以固定单条或者多条内容。如：allowedOrigins("http://www.baidu.com"）只有百度可以访问我们的跨域资源。allowedOrigins("*")代表允许任意路径
allowedMethods：设置允许的请求方法类型访问该跨域资源服务器，如：POST、GET、PUT、OPTIONS、DELETE等。
allowedHeaders：允许所有的请求header访问，可以自定义设置任意请求头信息，如："X-YYYY-TOKEN"
allowCredentials： 是否允许请求带有验证信息,用户是否可以发送、处理 cookie
maxAge(3600) 设置允许访问的时间

3.5 安全隐患。

置任意请求头信息，如：“X-YYYY-TOKEN”
allowCredentials： 是否允许请求带有验证信息,用户是否可以发送、处理 cookie
maxAge(3600) 设置允许访问的时间
``

3.5 安全隐患。

CORS 的工作过程是通过 Ajax 发送跨域请求，这个也有潜在的威胁存在，常见的就是 CSRF（Cross-site request forgery）跨站请求伪造。跨站请求伪造也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF，是一种挟制用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法 。关于 CSRF 攻击的具体介绍和防御办法，我们在学习SpringSecurity（spring安全框架）后再具体讲解。