前后端分离下spring security 跨域问题等

àì夳堔傛蜴生んèń 2023-02-22 05:26 34阅读 0赞

最近在做一个项目，前后端分离，不可避免的遇到了跨域问题。起初是配置跨域：

@Configuration
    public class CorsConfig extends WebMvcConfigurerAdapter {
        private CorsConfiguration buildConfig() {
            CorsConfiguration corsConfiguration = new CorsConfiguration();
            corsConfiguration.addAllowedOrigin("*");
            corsConfiguration.addAllowedHeader("*");
            corsConfiguration.addAllowedMethod("*");
            corsConfiguration.addExposedHeader("Authorization");
            return corsConfiguration;
        }
     
        @Bean
        public CorsFilter corsFilter() {
            UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
            source.registerCorsConfiguration("/**", buildConfig());
            return new CorsFilter(source);
        }
     
        @Override
        public void addCorsMappings(CorsRegistry registry) {
            registry.addMapping("/**")
                    .allowedOrigins("*")
                    .allowCredentials(true)
                    .allowedMethods("GET", "POST", "DELETE", "PUT")
                    .maxAge(3600);
        }
    }

在测试时发现在spring security下这些跨域配置并没有生效（被无视了。。。），依靠度娘挣扎测试了好久（整整一天，lz晚上睡觉都在想为啥为啥？？？），需要在springsecurity配置中加上cors()来开启跨域以及**requestMatchers(CorsUtils::isPreFlightRequest).permitAll()**来处理跨域请求中的preflight请求。

//开启跨域 cors()
        http.cors().and().csrf().disable().authorizeRequests()
             //处理跨域请求中的Preflight请求
             .requestMatchers(CorsUtils::isPreFlightRequest).permitAll()
             .antMatchers(HttpMethod.GET,"/hello/hello").permitAll()
             .antMatchers("/oauth/login").permitAll()
             .anyRequest().authenticated()
             .and()
             .formLogin()
             //自定义登录页面
             .loginPage("/oauth/login")
             .and()
             .logout()
             .and()
             .addFilter(new JWTLoginFilter(authenticationManager()))
             .addFilter(new JWTAuthenticationFilter(authenticationManager()));

当jwt token无效过期等时请求将跳到你自定义的登录页面（默认是/login），基于前后端分离，我这里自定义了一个登陆请求，以restful风格返回给前端，前端可依据返回的code全局路由到真正的登录页面。

跨域解决了，然后坑又来了，一堆的/oauth/login请求是什么鬼？？？陷入死循环了。。。当你的token无效时，他将继续带着token请求/oauth/login，在这个请求时，又要开始判断他的token，反反复复。。。

所以，在token的校验中，当我们的请求是/oauth/login时，将请求放行

String header = request.getHeader(JwtTokenUtils.TOKEN_HEADER);
     
            String requestURI = request.getRequestURI();
            // 如果请求头中没有Authorization信息则直接放行了
            if(header == null || !header.startsWith(JwtTokenUtils.TOKEN_PREFIX) || requestURI.equals("/oauth/login")){
                chain.doFilter(request,response);
                return;
            }

测试：带着一个过期的token去访问/hello/getNews将定义到/oauth/login

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU_size_16_color_FFFFFF_t_70][]

返回结果：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU_size_16_color_FFFFFF_t_70 1][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200702091725987.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200702091737903.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3BlbmdqdW5sZWU=,size_16,color_FFFFFF,t_70