Spring Security（十三）跨域与CORS

一时失言乱红尘 2023-06-07 12:20 30阅读 0赞

## 一.简介 ##

跨域是一种浏览器同源安全策略，即浏览器单方面限制脚本的跨域访问。  
**认识跨域**  
很多人认为资源跨域时无法请求，实际上，通常情况下请求是可以正常发起的（注意，部分浏览器存在特例），后端也正常进行了处理，只是在返回时被浏览器拦截，导致响应内容不可使用。可以论证这一点的著名案例就是CSRF跨站攻击。  
此外，我们平常所说的跨域实际上就是讨论浏览器行为，包括各种WebView容器等（其中，以XmlHttpRequest的使用为主）。由于JavaScript运行在浏览器上，所以Ajax的跨域成为“痛点”。  
实际上，不仅不同站点间的访问存在跨域问题，同站点间的访问可能也会遇到跨域问题，只要请求的URL与所在页面的URL首部不同即产生跨域，例如：

*  在http://a.baidu.com下访问https://a.baidu.com资源会形成协议跨域。  
    在a.baidu.com下访问b.baidu.com资源会形成主机跨域。  
    在a.baidu.com:80下访问a.baidu.com:8080资源会形成端口跨域。

## 二.实战 ##

启用Spring Security的CORS支持  
**1.CORS配置源**

@Bean
        CorsConfigurationSource corsConfigurationSource(){
            CorsConfiguration configuration = new CorsConfiguration();
            // 允许从百度站点跨域
            configuration.setAllowedOrigins(Arrays.asList("http://www.baidu.com"));
            // 允许使用GET方法和POST方法
            configuration.setAllowedMethods(Arrays.asList("GET","POST"));
            // 允许带凭证
            configuration.setAllowCredentials(true);
            UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
            //对所有URL生效
            source.registerCorsConfiguration("/**", configuration);
            return source;
        }

**2.WebSecurityConfig配置**

@Override
        protected void configure(HttpSecurity http) throws Exception{
            http.authorizeRequests()
                    .antMatchers("/admin/api/**").hasRole("ADMIN")
                    .antMatchers("/user/api/**").hasRole("USER")
                    .antMatchers("/app/api/**").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .cors()// 启用CORS支持
                    .and()
                    .formLogin();
        }

> 相关代码：https://github.com/o99o/SpringSecurity/tree/master/SpringSecurity\_12\_CORS