註解@CrossOrigin詳解

雜文論 發佈 2022-08-10T07:40:52.687337+00:00

註解@CrossOrigin出於安全原因,瀏覽器禁止Ajax調用駐留在當前原點之外的資源。例如,當你在一個標籤中檢查你的銀行帳戶時,你可以在另一個選項卡上擁有EVILL網站。來自EVILL的腳本不能夠對你的銀行API做出Ajax請求(從你的帳戶中取出錢!)使用您的憑據。

註解@CrossOrigin

出於安全原因,瀏覽器禁止Ajax調用駐留在當前原點之外的資源。例如,當你在一個標籤中檢查你的銀行帳戶時,你可以在另一個選項卡上擁有EVILL網站。來自EVILL的腳本不能夠對你的銀行API做出Ajax請求(從你的帳戶中取出錢!)使用您的憑據。

跨源資源共享(CORS)是由大多數瀏覽器實現的W3C規範,允許您靈活地指定什麼樣的跨域請求被授權,而不是使用一些不太安全和不太強大的策略,如IFRAME或JSONP。

一、跨域(CORS)支持:

Spring Framework 4.2 GA為CORS提供了第一類支持,使您比通常的基於過濾器的解決方案更容易和更強大地配置它。所以SpringMVC的版本要在4.2或以上版本才支持@CrossOrigin

二、使用方法:

1、controller配置CORS

1.1、controller方法的CORS配置

你可以向@RequestMapping註解處理程序方法添加一個@CrossOrigin註解,以便啟用CORS(默認情況下,@CrossOrigin允許在@RequestMapping註解中指定的所有源和HTTP方法):


@RestController

@RequestMapping("/account")

public class AccountController {


@CrossOrigin

@GetMapping("/{id}")

public Account retrieve(@PathVariable Long id) {

// ...

}


@DeleteMapping("/{id}")

public void remove(@PathVariable Long id) {

// ...

}

}

其中@CrossOrigin中的2個參數:

origins: 允許可訪問的域列表

maxAge:準備響應前的緩存持續的最大時間(以秒為單位)。

1.2、為整個controller啟用@CrossOrigin


@CrossOrigin(origins = "http://domain2.com", maxAge = 3600)

@RestController

@RequestMapping("/account")

public class AccountController {


@GetMapping("/{id}")

public Account retrieve(@PathVariable Long id) {

// ...

}


@DeleteMapping("/{id}")

public void remove(@PathVariable Long id) {

// ...

}

}

在這個例子中,對於retrieve()和remove()處理方法都啟用了跨域支持,還可以看到如何使用@CrossOrigin屬性定製CORS配置。

1.3、同時使用controller和方法級別的CORS配置

Spring將合併兩個注釋屬性以創建合併的CORS配置。


@CrossOrigin(maxAge = 3600)

@RestController

@RequestMapping("/account")

public class AccountController {


@CrossOrigin(origins = "http://domain2.com")

@GetMapping("/{id}")

public Account retrieve(@PathVariable Long id) {

// ...

}


@DeleteMapping("/{id}")

public void remove(@PathVariable Long id) {

// ...

}

}

1.4、如果正在使用Spring Security

請確保在Spring安全級別啟用CORS,並允許它利用Spring MVC級別定義的配置。


@EnableWebSecurity

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {


@Override

protected void configure(HttpSecurity http) throws Exception {

http.cors().and()...

}

}

2、全局CORS配置

除了細粒度、基於注釋的配置之外,您還可能需要定義一些全局CORS配置。這類似於使用篩選器,但可以聲明為Spring MVC並結合細粒度@CrossOrigin配置。默認情況下,所有origins and GET, HEAD and POST methods是允許的。

JavaConfig使整個應用程式的CORS簡化為:


@Configuration

@EnableWebMvc

public class WebConfig extends WebMvcConfigurerAdapter {


@Override

public void addCorsMappings(CorsRegistry registry) {

registry.addMapping("/**");

}

}

如果你正在使用Spring Boot,建議將WebMvcConfigurer bean聲明如下:


@Configuration

public class MyConfiguration {


@Bean

public WebMvcConfigurer corsConfigurer() {

return new WebMvcConfigurerAdapter() {

@Override

public void addCorsMappings(CorsRegistry registry) {

registry.addMapping("/**");

}

};

}

}

你可以輕鬆地更改任何屬性,以及僅將此CORS配置應用到特定的路徑模式:


@Override

public void addCorsMappings(CorsRegistry registry) {

registry.addMapping("/api/**")

.allowedOrigins("http://domain2.com")

.allowedMethods("PUT", "DELETE")

.allowedheaders("header1", "Header2", "header3")

.exposedHeaders("header1", "header2")

.allowCredentials(false).maxAge(3600);

}

如果你正在使用Spring Security,請確保在Spring安全級別啟用CORS,並允許它利用Spring MVC級別定義的配置。

3、XML命名空間

還可以將CORS與MVC XML命名空間配置。

a、如果整個項目所有方法都可以訪問,則可以這樣配置

此最小XML配置使CORS在/**路徑模式具有與JavaConfig相同的預設屬性:


<mvc:cors>

<mvc:mapping path="/**" />

</mvc:cors>

其中* 表示匹配到下一層;** 表示後面不管有多少層,都能匹配。

如:


<mvc:cors>

<mvc:mapping path="/api/*"/>

</mvc:cors>

這個可以匹配到的路徑有:

/api/aaa

/api/bbbb

不能匹配的:

/api/aaa/bbb

因為* 只能匹配到下一層路徑,如果想後面不管多少層都可以匹配,配置如下:


<mvc:cors>

<mvc:mapping path="/api/**"/>

</mvc:cors>

註:其實就是一個()變成兩個(*)

b、也可以用定製屬性聲明幾個CORS映射:


<mvc:cors>


<mvc:mapping path="/api/**"

allowed-origins="http://domain1.com, http://domain2.com"

allowed-methods="GET, PUT"

allowed-headers="header1, header2, header3"

exposed-headers="header1, header2" allow-credentials="false"

max-age="123" />


<mvc:mapping path="/resources/**"

allowed-origins="http://domain1.com" />


</mvc:cors>

請求路徑有/api/,方法示例如下:


@RequestMapping("/api/crossDomain")

@ResponseBody

public String crossDomain(HttpServletRequest req, HttpServletResponse res, String name){

……

……

}

c、如果使用Spring Security,不要忘記在Spring安全級別啟用CORS:


<http>

<!-- Default to Spring MVC's CORS configuration -->

<cors />

...

</http>

4、How does it work?

CORS請求(包括預選的帶有選項方法)被自動發送到註冊的各種HandlerMapping。它們處理CORS準備請求並攔截CORS簡單和實際請求,這得益於CorsProcessor實現(默認情況下默認DefaultCorsProcessor處理器),以便添加相關的CORS響應頭(如Access-Control-Allow-Origin)。CorsConfiguration允許您指定CORS請求應該如何處理:允許origins, headers, methods等。

a、AbstractHandlerMapping#setCorsConfiguration()允許指定一個映射,其中有幾個CorsConfiguration映射在路徑模式上,比如/api/**。

b、子類可以通過重寫AbstractHandlerMapping類的getCorsConfiguration(Object, HttpServletRequest)方法來提供自己的CorsConfiguration。

c、處理程序可以實現CorsConfigurationSource接口(如ResourceHttpRequestHandler),以便為每個請求提供一個CorsConfiguration。

5、基於過濾器的CORS支持

作為上述其他方法的替代,Spring框架還提供了CorsFilter。在這種情況下,不用使用@CrossOrigin或WebMvcConfigurer#addCorsMappings(CorsRegistry),,例如,可以在Spring Boot應用程式中聲明如下的過濾器:


@Configuration

public class MyConfiguration {


@Bean

public FilterRegistrationBean corsFilter() {

UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();

CorsConfiguration config = new CorsConfiguration();

config.setAllowCredentials(true);

config.addAllowedOrigin("http://domain1.com");

config.addAllowedHeader("*");

config.addAllowedMethod("*");

source.registerCorsConfiguration("/**", config);

FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));

bean.setOrder(0);

return bean;

}

}

三、spring註解@CrossOrigin不起作用的原因

1、是springMVC的版本要在4.2或以上版本才支持@CrossOrigin

2、非@CrossOrigin沒有解決跨域請求問題,而是不正確的請求導致無法得到預期的響應,導致瀏覽器端提示跨域問題。

3、在Controller註解上方添加@CrossOrigin註解後,仍然出現跨域問題,解決方案之一就是:

在@RequestMapping註解中沒有指定Get、Post方式,具體指定後,問題解決。

類似代碼如下:

@CrossOrigin

@RestController

public class person{


@RequestMapping(method = RequestMethod.GET)

public String add() {

// 若干代碼

}

}

關鍵字:

晚上就是會忍不住想吃宵夜啊👅

2021-11-15T04:19:34.983080+00:00

泡麵、雞排、珍奶、麻辣火鍋 每次忍不住吃完都只能懊悔😭

我真的太愛吃了,常常會逛美食部落格👅
發現很多部落客她們到處吃美食、寫文章
餐餐都吃大餐,身材依然保持得很好耶!
原來是有秘密武器【斷油燃燒錠】
https://www.cashin.tw/product/000000000035583
 


\ 什麼🤭我才吃短短幾個月就消了!! /
►夜間激發代謝力,讓晚上睡覺也能持續燃燒
►還能燃燒凹凸橘皮,窈窕也要緊實才好看!
►24小時代謝循環,排出體內的陳年毒素 
我現在看到喜歡吃的都不用猶豫啦~
✓抑制多餘吸收 ✓阻斷燃燒 ✓順暢排毒

 

商品資訊

 

睡覺就能SO二代燃脂膠囊_夜纖SO

 

https://www.cashin.tw/product/000000000035583