Spring Boot 中的各种跨域问题的详解

2023年10月13号发表于：java。评论 (0) 热度：394

一、引言

跨域问题是指网页中，浏览器禁止从一个域名的网页去请求另一个域名的资源。可以通过技术手段如 CORS 和 JSONP 来实现跨域请求。Spring Boot 可以作为快速构建基于 Spring框架的应用程序的工具，可以有效地解决应用程序开发过程中遇到的跨域难题。通过实现一个 Filter 来拦截所有请求，并添加一组 CONS 相关的 HTTP 响应头信息，配置 COWS 的相关属性，SpringBoot可以完成跨域问题的解决。CORS(跨来源资源共享)规范提供了优秀的跨域解决方案，开发人员可以更加专注于业务逻辑的实现。

1.1 跨域问题简介

跨域问题指的是在网页中，浏览器禁止从一个域名的网页去请求另一个域名的资源。通俗地说，就是网页中的 JavaScript 代码不能直接访问同一页面或者应用程序中不同域名（包括协议、域名、端口号）下的资源，这种情况下会出现跨域问题。

例如，如果你在本地运行一个网页（例如 file:///path/to/file/index.html），并且在该网页中使用 AJAX 请求获取 https://www.test.com/ 上的资源，那么由于这两个 URL 的域名不同，浏览器就会禁止这样的资源请求，从而导致跨域请求失败。

为了解决这个问题，需要通过一些技术手段，如 CORS 和 JSONP 等来完成跨域资源请求。

1.2 Spring Boot 的作用

Spring Boot 作为一个快速构建基于 Spring 框架的应用程序的工具，能够帮助开发者有效地解决应用程序开发过程中遇到的很多问题，其中包括了跨域问题。在 Spring Boot 中，可以通过实现一个 Filter，来拦截所有请求，并添加一组 CORS 相关的 HTTP 响应头信息，配置 CORS 的相关属性，从而完成跨域请求的支持。这样一来，在 Web 应用中使用 CORS，就不需要手工编写过多的代码来完成一些相对繁琐而且常常是重复的操作。Spring Boot 基于 CORS（跨来源资源共享）规范，提供了优秀的跨域解决方案，使得开发人员可以更加专注于业务逻辑的实现。

二、了解 CORS

2.1 什么是 CORS？

CORS（跨来源资源共享）是一种标准化的解决跨域问题的方案，它能够在安全地保护 Web 应用程序的前提下，允许从符合规定的跨域源服务器请求资源。在同源策略限制下，CORS 在浏览器与服务器之间使用 HTTP 头部标识浏览器是否应该允许在跨域请求中请求某个资源。

2.2 CORS 解决了哪些问题？

CORS 解决的是 Web 应用程序在跨域请求时所遇到的安全问题。同源策略是 Web 应用程序中的一个重要安全机制，它可以有效地限制在浏览器中发起跨域请求的能力，保障了 Web 应用程序的安全性。但是，同源策略在一些情况下也会带来一定的不便，例如当需要在 Web 页面中嵌入来自其他域名的资源时，就会因为跨域问题而导致无法正常访问。

CORS 的出现解决了这个问题，它允许浏览器从一个域名请求一个资源，并允许服务器告诉浏览器是否允许该请求有权限访问资源。通过 CORS，Web 应用程序可以更加灵活地使用来自不同域名的资源，而且不用担心 Web 应用程序的安全问题，保证了 Web 应用程序的安全性又满足了灵活性的需求。

例如，假如需要在某个网站中，调用来自另外一个域名的 API 来获取数据。在没有 CORS 的情况下，浏览器默认的同源策略会限制不能通过 AJAX 直接从不同的源站点获取数据。而通过配置 CORS，可以在 API 响应头中设置 allow-origin 和 allow-methods 属性，让浏览器知道哪些网站、使用哪些方法可以访问该 API 的数据，从而让 Web 应用程序正常获取所需的数据。

2.3 CORS 工作原理是什么？

CORS 的工作原理是通过在 HTTP 头部中添加特定的字段来告诉浏览器是否允许跨域访问资源。这些字段包含在一个名为 CORS 请求头中，用于描述浏览器和服务器之间的跨域请求和响应。浏览器在发起请求时会将 CORS 请求头部信息加入请求中，服务器收到请求后对该信息进行解析，并在响应头部设置对应的字段值，告诉浏览器该请求是否被允许。

举个例子，假如需要从 www.test.com 域名下的网站中向 api.test.com 下的 API 发起 AJAX 请求。在没有设置 CORS 的情况下，浏览器会将该请求视为跨域请求而被拒绝。但是，如果在 API 端设置了正确的 CORS 头部设置，就可以解决这个问题。

在浏览器发送该请求后，会在请求的头部添加一些额外信息，如下所示：

testOrigin: https://www.test.com

这里的 Origin 字段是指表示请求源站的域名，并且这个信息是由浏览器自动添加的。当 API 收到该请求时，会根据请求头的 Origin 字段进行判断。如果请求域名符合 CORS 头部设定的规则，则会在响应头部加入以下信息：

testAccess-Control-Allow-Origin: https://www.test.com
Access-Control-Allow-Methods: POST, GET, OPTIONS
Access-Control-Allow-Headers: Content-Type

这里的 Access-Control-Allow-Origin 属性指定了允许访问该 API 的源站，Access-Control-Allow-Methods 属性是指定允许的 HTTP 方法，Access-Control-Allow-Headers 是指定请求头可包含哪些额外信息。在服务器端配置了这些参数后，浏览器就能正常地向 API 发起跨域请求并获取数据。

三、Spring Boot 如何处理跨域问题

3.1 Spring Boot 与 CORS

Spring Boot 通过实现一个 Filter，来拦截所有的请求，并添加一组 CORS 相关的 HTTP 响应头信息，配置 CORS 的相关属性，从而完成跨域请求的支持，这样一来在 Web 应用中使用 CORS，就不需要手工编写过多的代码来完成一些相对繁琐而且常常是重复的操作。

3.2 Spring Boot 如何设置 Access-Control-Allow-Origin 头信息

在 Spring Boot 中，有多种方式可以设置 Access-Control-Allow-Origin 头信息。

使用 @CrossOrigin 注解

在 Spring Boot 的控制器方法上添加 @CrossOrigin 注解可以启用 CORS 支持，并设置 Access-Control-Allow-Origin 头信息，例如：

@RestController
public class MyController {

  @GetMapping("/hello")
  @CrossOrigin(origins = "https://www.test.com")
  public String hello() {
    return "Hello World!";
  }

}

在这个示例中，把允许跨域请求的源限制为 https://www.test.com，并且 Spring Boot 会自动在响应头中添加 Access-Control-Allow-Origin 头信息。

使用 WebMvcConfigurer 配置

如果想要对整个应用程序启用全局 CORS 设置，可以使用 WebMvcConfigurer 配置类来配置。例如：

@Configuration
public class MyConfiguration implements WebMvcConfigurer {

  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**").allowedOrigins("https://www.test.com");
  }

}

在这个示例中，在 MyConfiguration 类中实现了 WebMvcConfigurer 接口，并在 addCorsMappings() 方法中设置了允许跨域请求的源限制为 https://www.test.com。这样就可以全局启用 CORS，并且 Spring Boot 会自动添加 Access-Control-Allow-Origin 头信息。

自定义 Filter

还有一种方式是使用自定义 Filter 来手动添加 Access-Control-Allow-Origin 头信息。例如：

@Component
public class CorsFilter implements Filter {

  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
      throws IOException, ServletException {
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    httpResponse.setHeader("Access-Control-Allow-Origin", "https://www.test.com");
    chain.doFilter(request, response);
  }
}

在这个示例中，实现了一个 CorsFilter 类，并在 doFilter() 方法中手动添加 Access-Control-Allow-Origin 头信息。然后将该 Filter 注册到 Spring Boot 的应用程序上下文中，即可启用全局的 CORS 支持。

3.3 Spring Boot 的 CORS 配置示例

以下是 Spring Boot 中 CORS 配置的示例：

全局配置

在 Spring Boot 主类上添加 @CrossOrigin 注解，即可启用全局的 CORS 支持并设置允许的源域名。例如：

@SpringBootApplication
@RestController
@CrossOrigin(origins = "https://www.test.com")
public class MyApplication {

  // ...

}

在这个示例中，将允许跨域请求的源域名设置为 https://www.test.com。

控制器方法配置

如果只想为某个控制器方法启用 CORS 支持，可以在该方法上添加 @CrossOrigin 注解。例如：

@RestController
public class MyController {

  @GetMapping("/hello")
  @CrossOrigin(origins = "https://www.test.com")
  public String hello() {
    return "Hello World!";
  }

}

在这个示例中，将允许跨域请求的源域名设置为 https://www.test.com，并且只针对 /hello 路径下的 GET 请求启用了 CORS 支持。

自定义配置类

如果需要更加灵活地配置 CORS，可以创建一个自定义的配置类来配置。例如：

@Configuration
public class MyConfig implements WebMvcConfigurer {

  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/api/**").allowedOrigins("https://www.test.com");
  }

}

在这个示例中，创建了一个名为 MyConfig 的配置类，并实现了 WebMvcConfigurer 接口。在 addCorsMappings() 方法中，设置了只允许 /api 路径下的请求从 https://www.test.com 源发起，并支持跨域请求。

自定义 Filter

最后，还可以通过自定义 Filter 的方式来添加 CORS 支持。示例代码如下：

@Component
public class CorsFilter implements Filter {

  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
      throws IOException, ServletException {
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    httpResponse.setHeader("Access-Control-Allow-Origin", "https://www.test.com");
    chain.doFilter(request, response);
  }

}

在这个示例中，创建了一个名为 CorsFilter 的 Filter 类，并在 doFilter() 方法中手动添加了 Access-Control-Allow-Origin 头信息。最后，将该 Filter 注册到 Spring Boot 的应用程序上下文中，即可启用全局的 CORS 支持。

四、使用 Spring Boot 解决不同类型的跨域问题

4.1 简单跨域问题

对于简单请求，即满足以下条件：

使用 GET、HEAD 或 POST 方法
Content-Type 只包含以下三种：text/plain、multipart/form-data 或 application/x-www-form-urlencoded
请求中的任意自定义头部都不得超过简单头部范围（Accept、Accept-Language、Content-Language、Content-Type、DPR、Downlink、Save-Data、Viewport-Width、Width）

使用Spring Boot 解决简单请求的跨域问题非常简单，只需在控制器方法上添加 @CrossOrigin 注解，并设置允许跨域请求的源即可。示例代码如下：

@RestController
public class MyController {
  @GetMapping("/hello")
  @CrossOrigin(origins = "https://www.example.com")
  public String hello() {
    return "Hello World!";
  }
}

4.2 非简单请求的跨域问题

对于预检请求问题，可以在 Spring Boot 中添加一个 Filter 进行拦截处理，示例如下：

对于非简单请求，如在请求中使用了 PUT 或 DELETE 方法，或者在请求头中添加了自定义信息，就需要在服务器端设置相应的响应头。可以使用 Spring Boot 的 Filter 或拦截器，在处理请求前添加响应头从而解决跨域问题。

使用 Filter 解决跨域问题的示例代码如下：

@Component
public class CorsFilter implements Filter {
  @Override
  public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws ServletException, IOException {
    HttpServletResponse response = (HttpServletResponse) resp;
    HttpServletRequest request = (HttpServletRequest) req;

    //允许访问的源地址
    String[] allowDomain = {"https://www.example.com"};

    //允许的头部信息
    String allowHeaders = "Content-Type,X-Requested-With,accept,Authorization,Origin,Access-Control-Request-Method,Access-Control-Request-Headers";

    if (Arrays.asList(allowDomain).contains(request.getHeader("Origin"))) {
      response.setHeader("Access-Control-Allow-Origin", request.getHeader("Origin"));
      response.setHeader("Access-Control-Allow-Methods", "HEAD,POST,GET,PUT,DELETE,OPTIONS");
      response.setHeader("Access-Control-Allow-Headers", allowHeaders);
      response.setHeader("Access-Control-Max-Age", "1800");//30分钟内不需要再发送预检请求
    }

    if (request.getMethod().equals(HttpMethod.OPTIONS.name())) {
      response.setStatus(HttpStatus.OK.value());
      return;
    }

    chain.doFilter(req, resp);
  }
}

在这个示例中，通过自定义 CorsFilter 类实现了 Filter 接口，在 doFilter() 方法中设置了 Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers 和 Access-Control-Max-Age 等响应头，以解决跨域问题。

4.3 JSONP 跨域问题

JSONP 是一种解决跨域问题的方法，它通过动态创建 script 标签的方式将数据返回给客户端，从而实现跨域访问。如果需要在 Spring Boot 中使用 JSONP 解决跨域问题，可以通过控制器方法返回一个特殊格式的字符串，例如：

@RestController
public class MyController {
  @GetMapping("/hello")
  public String hello(@RequestParam("callback") String callback) {
    return callback + "({\"message\": \"Hello World!\"});";
  }
}

在这个示例中，通过控制器方法的 @RequestParam 注解获取了回调函数的名称，然后返回一个字符串，其中包含了回调函数的名称和要返回的数据。在客户端代码中，只需要动态创建一个 script 标签，并将回调函数的名称作为参数传递给服务端即可。

4.4 Cookie 认证相关的跨域问题

在使用 Cookie 进行身份认证时，跨域请求会带来一些安全问题。为了防止 CSRF（跨站请求伪造）攻击，浏览器默认不会发送跨域请求中的 Cookie，除非服务器响应设置相应的 CORS 响应头。下面介绍如何使用 Spring Boot 解决这些问题。

WithCredentials 配置

使用 AJAX 请求时，可以通过设置 withCredentials 参数开启跨域请求携带 Cookie 的功能。在 Spring Boot 中，可以使用 Spring Security 中的 CorsConfigurationSource 接口来实现跨域配置。示例代码如下：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .authorizeRequests().anyRequest().permitAll().and()
        .cors().configurationSource(corsConfigurationSource());
  }

  private CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.applyPermitDefaultValues();
    configuration.setAllowCredentials(true);//允许携带 Cookie
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
  }
}

在这个示例中，首先通过 disable() 方法关闭了 CSRF 防护功能，然后配置了一个跨域配置源 corsConfigurationSource()，其中将 withCredentials 参数设置为 true，表示允许跨域请求携带 Cookie。最后，使用 cors() 方法将跨域配置应用到了 Spring Security 中。

清除 Cookie

在某些情况下，希望清除跨域请求中的 Cookie，可以通过设置 Set-Cookie 响应头的 Max-Age 属性为 0 来实现。示例代码如下：

@RestController
public class MyController {
  @GetMapping("/logout")
  public void logout(HttpServletRequest request, HttpServletResponse response) {
    Cookie cookie = new Cookie("sessionId", null);
    cookie.setPath("/");
    cookie.setMaxAge(0);
    response.addCookie(cookie);
  }
}

在这个示例中，定义了一个控制器方法，当用户点击退出按钮时，会调用该方法来清除 sessionId 对应的 Cookie。首先创建了一个名为 sessionId 的 Cookie，并将其 Max-Age 属性设为 0，表示立即过期。然后将 Cookie 添加到响应头中，浏览器接收到响应后便会清除该 Cookie。

综上所述，使用 Spring Boot 解决 Cookie 认证相关的跨域问题，需要根据具体的情况选择不同的解决方案。可以使用 Spring Security 提供的 CorsConfigurationSource 接口来实现跨域配置，也可以在需要的时候清除跨域请求中的 Cookie。

4.5 预检请求问题

预检请求是指在跨域请求中，浏览器会先发送一个 OPTIONS 请求获取服务器是否允许跨域请求，并获取服务器的 CORS 相关响应头信息。只有在服务器响应了相应的 CORS 头部后，浏览器才会继续发送真正的跨域请求。下面介绍如何使用 Spring Boot 解决预检请求问题。

配置 CorsFilter

使用 CorsFilter 来解决预检请求问题是最常见的方法。CorsFilter 是 Spring 框架提供的一种用于处理跨域请求的过滤器。可以通过添加配置类来创建一个自定义的 CorsFilter 过滤器，并在过滤器中设置 Access-Control-Allow-* 响应头。示例代码如下：

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**")
        .allowedOrigins("*")
        .allowCredentials(true)
        .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
        .maxAge(3600);
  }

  @Bean
  public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    CorsConfiguration config = new CorsConfiguration();
    config.addAllowedOrigin("*");
    config.setAllowCredentials(true);
    config.addAllowedHeader("*");
    config.addAllowedMethod("*");
    source.registerCorsConfiguration("/**", config);
    return new CorsFilter(source);
  }
}

在这个示例中，首先通过 addCorsMappings() 方法配置了跨域请求的相关信息，包括允许的请求方法、是否允许携带 Cookie 等。然后通过 Bean 注解创建了一个 CorsFilter 过滤器，并将其注册到了 Spring 容器中。

配置 CorsFilter 跨域的配置 2


package com.imooc.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
public class CorsConfig {

    public CorsConfig() {
    }

    @Bean
    public CorsFilter corsFilter() {
        // 1. 添加cors配置信息
        CorsConfiguration config = new CorsConfiguration();
        config.addAllowedOrigin("http://localhost:8080");
        config.addAllowedOrigin("http://shop.z.mukewang.com:8080");
        config.addAllowedOrigin("http://center.z.mukewang.com:8080");
        config.addAllowedOrigin("http://shop.z.mukewang.com");
        config.addAllowedOrigin("http://center.z.mukewang.com");
        config.addAllowedOrigin("*");

        // 设置是否发送cookie信息
        config.setAllowCredentials(true);

        // 设置允许请求的方式
        config.addAllowedMethod("*");

        // 设置允许的header
        config.addAllowedHeader("*");

        // 2. 为url添加映射路径
        UrlBasedCorsConfigurationSource corsSource = new UrlBasedCorsConfigurationSource();
        corsSource.registerCorsConfiguration("/**", config);

        // 3. 返回重新定义好的corsSource
        return new CorsFilter(corsSource);
    }

}

实现 CorsConfigurationSource 接口

另一种解决预检请求问题的方法是实现 CorsConfigurationSource 接口。相比于使用 CorsFilter 过滤器，这种方法更加灵活，可以根据具体的需求来设置响应头信息。示例代码如下：

@Configuration
public class WebMvcConfig implements WebMvcConfigurer, CorsConfigurationSource {
  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/**")
        .allowedOrigins("*")
        .allowCredentials(true)
        .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
        .maxAge(3600);
  }

  @Override
  public CorsConfiguration getCorsConfiguration(HttpServletRequest request) {
    CorsConfiguration config = new CorsConfiguration();
    config.addAllowedOrigin("*");
    config.setAllowCredentials(true);
    config.addAllowedHeader("*");
    config.addAllowedMethod("*");
    return config;
  }
}

在这个示例中，首先实现了 WebMvcConfigurer 和 CorsConfigurationSource 接口，并在 addCorsMappings() 方法中配置了跨域请求的相关信息。然后在 getCorsConfiguration() 方法中返回了一个 CorsConfiguration 对象，其中设置了相关的响应头信息。

综上所述，Spring Boot 可以通过 CorsFilter 过滤器或者实现 CorsConfigurationSource 接口来解决预检请求问题。虽然两种方法的具体实现方式不同，但都是设置 CORS 相关的响应头信息，从而解决跨域问题。

五、案例分析：解析一个完整的 Spring Boot CORS 请求

以一个完整的 Spring Boot CORS 请求示例来进行分析和展示。

编写 Controller

首先，需要编写一个简单的 RESTful API，用于获取用户信息。在 UserController 类中，使用 @GetMapping 注解来实现 GET 方法，返回一个 JSON 格式的用户信息。

@RestController
@RequestMapping("/api")
public class UserController {
  @GetMapping("/user")
  public User getUser() {
    User user = new User();
    user.setId(123);
    user.setName("John");
    user.setAge(20);
    return user;
  }
}

配置 CORS 请求

在 Spring Boot 中，可以通过 CorsRegistration 和 CorsConfigurationSource 接口来配置 CORS 请求。在 WebMvcConfig 类中，首先实现了 WebMvcConfigurer 和 CorsConfigurationSource 接口，并在 addCorsMappings() 方法中配置了跨域请求的相关信息。其中，allowedOrigins 参数设置为 "*" 表示允许所有的源进行跨域请求；allowedMethods 参数设置了允许的请求方法；allowedHeaders 参数设置了允许的请求头信息；allowCredentials 参数设置为 true 表示允许携带 Cookie 进行跨域请求；maxAge 参数设置了预检请求的有效期。在 getCorsConfiguration() 方法中，使用 CorsConfiguration 对象设置了相关的响应头信息。

@Configuration
public class WebMvcConfig implements WebMvcConfigurer, CorsConfigurationSource {
  @Override
  public void addCorsMappings(CorsRegistry registry) {
    registry.addMapping("/api/**")
        .allowedOrigins("*")
        .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
        .allowedHeaders("*")
        .allowCredentials(true)
        .maxAge(3600);
  }

  @Override
  public CorsConfiguration getCorsConfiguration(HttpServletRequest request) {
    CorsConfiguration config = new CorsConfiguration();
    config.addAllowedOrigin("*");
    config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
    config.addAllowedHeader("*");
    config.setAllowCredentials(true);
    config.setMaxAge(3600L);
    return config;
  }
}

测试 CORS 请求

最后，可以通过前端页面发送 GET 请求来测试 CORS 请求是否能够正常工作。在这个示例中，使用 jQuery 的 ajax() 方法发送 GET 请求，并设置了 xhrFields 属性来允许携带 Cookie 进行跨域请求。请求返回后，将获取到的用户信息打印在控制台中。

$.ajax({
  url: "http://localhost:8080/api/user",
  type: "GET",
  xhrFields: {
    withCredentials: true
  },
  success: function(data) {
    console.log(data);
  }
});

综上所述，这个完整的 Spring Boot CORS 请求示例演示了如何通过跨域请求配置来解决前后端分离部署所带来的跨域问题。在 Controller 中实现了 GET 方法，返回一个 JSON 格式的用户信息。然后，在 WebMvcConfig 类中，通过实现 WebMvcConfigurer 和 CorsConfigurationSource 接口来配置 CORS 请求。最后，在前端页面中，使用 jQuery 的 ajax() 方法发送 GET 请求，并设置了 xhrFields 属性来允许携带 Cookie 进行跨域请求。

六、总结

6.1 Spring Boot 处理跨域问题的优点和局限性

Spring Boot 处理跨域问题的优点：

简单快捷：Spring Boot 提供了 CorsRegistration 和 CorsConfigurationSource 接口，使得处理跨域请求十分简单。
功能强大：Spring Boot 可以灵活地配置允许跨域请求的源、请求方法、请求头信息等，能够满足不同场景下的需求。
安全可靠：Spring Boot 支持设置是否允许携带 Cookie 进行跨域请求，可以保证数据的安全性。
适用范围广：Spring Boot 可以使用在任何基于 Java 开发的 Web 应用程序中，包括传统的 Spring MVC 项目或 RESTful 服务等。
节约成本：由于 Spring Boot 天然支持处理跨域请求，因此开发成本相对较低。

Spring Boot 处理跨域问题的局限性：

不支持 HTTP 鉴权：Spring Boot 的 CORS 请求处理机制不能与基于 HTTP 鉴权机制的 RESTful API 很好的配合使用。
不能跨协议访问：CORS 请求只能在相同协议下实现跨域请求，即只能在 http 协议中请求 http 协议的资源，在 https 协议中请求 https 协议的资源。
跨域性能问题：如果跨域请求的数据量较大，可能会影响网络性能和请求速度。
安全风险：如果开发者不妥善地配置 CORS 请求处理机制，可能会导致跨站点脚本攻击等安全问题。

6.2 推荐其他工具和技术实现更复杂的跨域需求

除了 Spring Boot 的 CORS 请求处理机制，还有一些其他的工具和技术可以用来处理更复杂的跨域需求，包括：

JSONP：JSONP 是一种在客户端进行跨域请求的方法，它利用 script 标签不受同源策略限制的特性，向服务器请求 JSON 数据，并将数据作为回调函数的参数返回给客户端。JSONP 的优点是简单易用，但缺点是只能发送 GET 请求，且需要服务器配合返回指定格式的数据。
反向代理：反向代理是一种通过在服务器端转发请求的方式来实现跨域访问的技术，其原理是将客户端的请求先发送到代理服务器上，再由代理服务器将请求转发给真正的目标服务器。常见的反向代理工具包括 Nginx、Apache 等。
WebSocket：WebSocket 是一种在客户端与服务器之间建立持久化连接的技术，它使用标准 HTTP 协议完成握手，然后切换到 WebSocket 协议进行通信，因此不受同源策略的限制。WebSocket 可以实现实时通信，适用于聊天室、游戏等场景。
跨域资源共享（CORS）：CORS 是 W3C 提出的一种跨域访问资源的标准，通过在 HTTP 头部添加 Access-Control-Allow-Origin 等字段来控制跨域请求的访问权限。CORS 的优点是灵活、安全，但需要服务器进行配置。
网关：用网关是另一种实现跨域需求的方式，它的原理是将所有客户端请求经过一个网关，由网关转发到真正的目标服务器，再将响应返回给客户端。网关通常会对请求进行路由、负载均衡、安全校验等处理，可以起到统一管理、降低维护成本的作用。使用网关的好处是可以将跨域处理、请求转发、业务逻辑处理等聚合到一个统一的入口，减少了代码重复和维护成本。另外，网关还可以实现数据缓存、流量控制、安全校验等方面的功能，为开发者提供更多便利。

常见的网关技术包括：

Spring Cloud Gateway：Spring Cloud Gateway 是 Spring Cloud 生态中的网关组件，它基于 Spring 5、Spring Boot 2 和 Project Reactor 构建，具有轻量、高效、灵活的特点。Spring Cloud Gateway 支持动态路由、限流、安全检查等功能，可以与 Spring Cloud 相应组件无缝集成。
Zuul：Zuul 是 Netflix 公司开源的网关组件，可以实现动态路由、负载均衡、安全校验等功能。Zuul 1.x 基于 Servlet API 构建，而 Zuul 2.x 则基于 Netty 构建。虽然 Zuul 已经停止更新，但在一些传统的微服务架构中仍然被广泛使用。
Kong：Kong 是一个基于 Nginx 的开源 API 网关，可以实现动态路由、插件扩展、监控日志等功能。Kong 支持多种数据存储方式，可以与各种后端服务无缝集成。
NGINX Plus：NGINX Plus 是 Nginx 公司提供的商业版 API 网关，可以实现高可用、负载均衡、安全检查等功能。NGINX Plus 还支持动态路由和插件扩展，适用于大规模分布式架构的场景。

(｡･v･｡)

喜欢这篇文章吗？欢迎分享到你的微博、QQ群，并关注我们的微博，谢谢支持。

爱程序，爱分享。

Spring Boot 中的各种跨域问题的详解

一、引言

1.1 跨域问题简介

1.2 Spring Boot 的作用

二、了解 CORS

2.1 什么是 CORS？

2.2 CORS 解决了哪些问题？

2.3 CORS 工作原理是什么？

三、Spring Boot 如何处理跨域问题

3.1 Spring Boot 与 CORS

3.2 Spring Boot 如何设置 Access-Control-Allow-Origin 头信息

3.3 Spring Boot 的 CORS 配置示例

四、使用 Spring Boot 解决不同类型的跨域问题

4.1 简单跨域问题

4.2 非简单请求的跨域问题

4.3 JSONP 跨域问题

4.4 Cookie 认证相关的跨域问题

4.5 预检请求问题

配置 CorsFilter

五、案例分析：解析一个完整的 Spring Boot CORS 请求

编写 Controller

配置 CORS 请求

测试 CORS 请求

六、总结

6.1 Spring Boot 处理跨域问题的优点和局限性

6.2 推荐其他工具和技术实现更复杂的跨域需求

最新文章

热点文章

标签

Spring Boot 中的各种跨域问题的详解

一、引言

1.1 跨域问题简介

1.2 Spring Boot 的作用

二、了解 CORS

2.1 什么是 CORS？

2.2 CORS 解决了哪些问题？

2.3 CORS 工作原理是什么？

三、Spring Boot 如何处理跨域问题

3.1 Spring Boot 与 CORS

3.2 Spring Boot 如何设置 Access-Control-Allow-Origin 头信息

3.3 Spring Boot 的 CORS 配置示例

四、使用 Spring Boot 解决不同类型的跨域问题

4.1 简单跨域问题

4.2 非简单请求的跨域问题

4.3 JSONP 跨域问题

4.4 Cookie 认证相关的跨域问题

4.5 预检请求问题

配置 CorsFilter

五、案例分析： 解析一个完整的 Spring Boot CORS 请求

编写 Controller

配置 CORS 请求

测试 CORS 请求

六、总结

6.1 Spring Boot 处理跨域问题的优点和局限性

6.2 推荐其他工具和技术实现更复杂的跨域需求

最新文章

热点文章

标签

五、案例分析：解析一个完整的 Spring Boot CORS 请求