跨源问题描述
您可能会遇到以下错误消息：
被 cors 策略阻止：请求的资源上不存在“access-control-allow-origin”标头
此错误表示对某个地址的请求已被 cors 协议阻止，因为资源中缺少 access-control-allow-origin 标头。
分析跨源问题
跨域问题的根本原因是浏览器出于安全考虑，限制访问当前站点之外的资源。
例如，考虑托管在 http://127.0.0.1:8080/ 且具有特定页面的网站。如果您从同一站点访问资源，则没有任何限制。但如果您尝试从其他站点访问资源（例如http://127.0.0.1:8081），浏览器将阻止该请求。
注意：我们将协议、域和端口视为定义“同源”的一部分。
具有 src 属性的元素，例如 img 和 script 标签，不受此限制。
历史上，当前端和后端不分离时，页面和请求接口存在于同一个域和端口下。然后，浏览器将允许来自一个域托管的页面的请求从同一域请求资源。
例如http://127.0.0.1:8080/index.html可以自由请求http://127.0.0.1:8080/a/b/c/userlit。
现在，前端和后端分离到不同的应用程序中，这是不允许的，并且会引发 cors 问题。
什么是起源和跨起源？
来源（或源）由协议、域和端口号组成。
企业网站通用源码是以aspcms作为核心进行开发的asp企业网站源码。企业网站通用源码是一套界面设计非常漂亮的企业网站源码，是2016年下半年的又一力作，适合大部分的企业在制作网站是参考或使用，源码亲测完整可用，没有任何功能限制，程序内核使用的是aspcms，如果有不懂的地方或者有不会用的地方可以搜索aspcms的相关技术问题来解决。网站UI虽然不是特别细腻，但是网站整体格调非常立体，尤其是通观全
url 由协议、域、端口和路径组成。如果两个 url 的协议、域和端口都相同，则它们被视为“同源”。这三个元素中任何一个的差异都构成跨源请求。
考虑 https://www.baidu.com/index.html 的跨域比较：
| url | cross-origin | reason |
|---|---|---|
| https://www.baidu.com/more/index.html | no | same protocol, domain, and port |
| https://map.baidu.com/ | yes | different domain |
| http://www.baidu.com/index.html | yes | different protocol |
| https://www.baidu.com:81/index.html | yes | different port |
什么是同源政策？
同源策略是一项基本的浏览器安全功能。如果没有它，浏览器的正常功能可能会受到威胁。 web 架构很大程度上依赖于此策略，浏览器实现它以确保安全。
同源政策包括：
- dom 同源策略：防止不同源页面的 dom 操作。主要适用于跨域iframe场景，不同域的iframe不能互相访问。
- xmlhttprequest 同源策略：禁止使用 xhr 对象向不同来源发出 http 请求。
解决spring boot中的跨源问题
1. 创建一个过滤器来处理 cors
在前后端分离部署的项目中，解决cors至关重要。 cookie用于存储用户登录信息，spring拦截器管理权限。当拦截器和 cors 以错误的顺序处理时，就会出现问题，导致 cors 错误。
http 请求在到达 servlet 之前首先经过过滤器，然后到达拦截器。为了确保 cors 处理发生在授权拦截之前，我们可以将 cors 配置放在过滤器中。
@configuration
public class corsconfig {
@bean
public corsfilter corsfilter() {
corsconfiguration corsconfiguration = new corsconfiguration();
corsconfiguration.addallowedorigin("*");
corsconfiguration.addallowedheader("*");
corsconfiguration.addallowedmethod("*");
corsconfiguration.setallowcredentials(true);
urlbasedcorsconfigurationsource urlbasedcorsconfigurationsource = new urlbasedcorsconfigurationsource();
urlbasedcorsconfigurationsource.registercorsconfiguration("/**", corsconfiguration);
return new corsfilter(urlbasedcorsconfigurationsource);
}
}
2.在webmvcconfigurer中配置cors
虽然 jsonp 可以解决前端的跨源问题，但它仅支持 get 请求，这在 restful 应用程序中受到限制。相反，您可以使用后端的跨源资源共享 (cors) 来处理跨源请求。该方案并非spring boot独有，在传统的ssm框架中也有使用。您可以通过实现 webmvcconfigurer 接口并重写 addcorsmappings 方法来配置它。
@configuration
public class corsconfig implements webmvcconfigurer {
@override
public void addcorsmappings(corsregistry registry) {
registry.addmapping("/**")
.allowedorigins("*")
.allowcredentials(true)
.allowedmethods("get", "post", "put", "delete", "options")
.maxage(3600);
}
}
3. 在控制器中配置cors
您可以通过在@requestmapping注解中添加@crossorigin注解来为特定控制器方法启用cors。默认情况下，@crossorigin 允许@requestmapping 中指定的所有来源和http 方法。
@restcontroller
@requestmapping("/account")
public class accountcontroller {
@crossorigin
@getmapping("/{id}")
public account retrieve(@pathvariable long id) {
// ...
}
@deletemapping("/{id}")
public void remove(@pathvariable long id) {
// ...
}
}
理解@crossorigin参数：
- @crossorigin不带参数允许所有url访问。
- @crossorigin(origins = "http://127.0.0.1:8080") 限制对指定 url 的访问。
- 此注解可以用在类或方法上。
- value 或 origins 属性指定允许的 url。
- maxage 表示预检请求缓存的最大年龄（以秒为单位）。
- allowedcredentials 指示是否允许凭据 (cookie)。默认为 false。
- allowedheaders 指定允许的请求标头。
- methods 指定允许的请求方法，默认为 get、post、head。
@crossorigin 可能不起作用的原因
- spring mvc 版本必须为 4.2 或更高版本才能支持 @crossorigin。
- 由于服务器响应不正确，错误的请求可能会出现跨源问题。
- 如果在 controller 注释上方添加 @crossorigin 仍然会导致问题，一种可能的解决方法是在 @requestmapping 中指定 http 方法。
示例：
@CrossOrigin
@RestController
public class PersonController {
@RequestMapping(method = RequestMethod.GET)
public String add() {
// some code
}
}
