最新要闻

广告

手机

警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案

警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案

票房这么火爆,如何请视障人士“看”一场电影?

票房这么火爆,如何请视障人士“看”一场电影?

家电

环球即时:Springboot处理跨域请求

来源:博客园

Springboot中如何处理跨域请求

一.什么是跨域?

我们知道Url的一般格式:协议 + 域名(子域名 + 主域名) + 端口号 + 资源地址


(资料图)

比如:

https://www.itquanmingxing.cn:8080/users 是由https + www + itquanmingxing.cn + 8080 + users组成。

只要协议,子域名,主域名,端口号这四项组成部分中有一项不同,就可以认为是不同的域,不同的域之间互相访问资源,就被称之为跨域。

而我们的浏览器默认是不允许跨域请求的,因为它们都使用了同源策略,同源策略是由 Netscape 提出的一个著名的安全策略,它是浏览器最核心也最基本的安全功能,现在所有支持 JavaScript 的浏览器都会使用这个策略。

但是我们在实际开发中,由于各种原因又经常有跨域的需求,比如:现在的前端开发中都是前后端分离的开发模式,数据的获取并非同源;或者A网站是电子商务管理订单,B网站是进销存抓取订单信息后做发货;再比如做单点登录,在A网站登录后,跳转到B网站时不需要再输入用户名密码等。

所以我们怎么解决这个跨域访问的问题呢?

二 什么是CORS

解决跨域请求,主要有JSONP,iframe,window.name,CORS等方式。其中CORS方式是最常用的跨域实现方式,而且是对各种请求方法、各种数据请求类型都是完美支持的。

跨域资源共享(CORS,Cross-origin resource sharing) 是一种机制,它使用额外的 HTTP 头来告诉浏览器 让运行在一个 origin (domain) 上的Web应用被准许访问来自不同源服务器上的指定的资源。当一个资源从与该资源本身所在的服务器不同的域、协议或端口请求一个资源时,资源会发起一个跨域 HTTP 请求。

原理:在服务器端设置允许跨域的请求头,从而实现跨域,服务器设置后前端通过正常的ajax请求即可。

三 Springboot中CORS的使用

CORS从具体的代码实现上来说比较方便,前端几乎不需要写任何代码就可以支持。主要是靠服务端进行配置。

CORS需要浏览器和服务器同时支持。目前所有浏览器都支持该功能,IE浏览器不能低于IE10。

整个CORS通信过程,都是浏览器自动完成,不需要用户参与。对于开发者来说,CORS通信与同源的AJAX通信没有差别,代码完全一样。浏览器一旦发现AJAX请求跨源,就会自动添加一些附加的头信息,有时还会多出一次附加的请求,但用户不会有感觉。

因此,实现CORS通信的关键是服务器。只要服务器实现了CORS接口,就可以跨域通信。

3.1 创建两个springboot项目

为了方便,创建一个空的project,然后在空的project中创建两个module代表两个不同源的项目。

先创建空的工程:

再创建两个module:

一个取名为provider(被访问的项目),添加web依赖,一个取名为consumer(发起访问的项目),添加web和thymeleaf依赖。

创建出来的项目结果如下:

3.2 添加测试代码

在provider项目中添加:

控制层方法:

在consumer项目中添加:

控制层方法和视图页中的ajax请求

修改consumer访问端口为8080:

3.3 启动项目测试

分别启动这两个项目

会发现由于同源策略的限制,请求无法发送成功。

3.4 使用CORS

好,那我们现在就使用 CORS 在前端代码不做任何修改的情况下,实现跨域。

在provider项目提供的方法上添加

@CrossOrigin(value = "http://localhost:8088")

重新启动项目访问:发现可以成功访问了。

按F12查看请求头信息,发现多了一个允许访问的域。

3.5 全局配置CORS

这个注解可以用在方法上,也可以用在Controller上,但如果每一个方法上都去加注解包括说每个Controller上都去加注解都很麻烦,我们可以通过全局配置一次性解决这个问题。

全局配置只需要在 SpringMVC 的配置类中重写 addCorsMappings 方法即可,方法上就不用加了,代码如下:

package com.example.provider.config;import org.springframework.context.annotation.Configuration;import org.springframework.web.servlet.config.annotation.CorsRegistry;import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;@Configurationpublic class ProviderMvcConfig implements WebMvcConfigurer {    @Override    public void addCorsMappings(CorsRegistry registry) {    registry.addMapping("/**")// 项目中的所有接口都支持跨域          .allowedOrigins("http://localhost:8088") //允许哪些域能访问我们的跨域资源          .allowedMethods("*")//允许的访问方法"POST", "GET", "PUT", "OPTIONS", "DELETE"等          .allowedHeaders("*");//允许所有的请求header访问,可以自定义设置任意请求头信息    }}
这里我们的ProviderMvcConfig配置类实现了WebMvcConfigurer接口并且重写了addCorsMappings方法,我们来简单介绍下我们的配置信息addMapping:配置可以被跨域的路径,可以任意配置,可以具体到直接请求路径。allowedOrigins:允许哪些域名可以访问我们的跨域资源,可以固定单条或者多条内容。   如:allowedOrigins("http://www.baidu.com")只有百度可以访问我们的跨域资源。      allowedOrigins("*")代表允许任意路径allowedMethods:设置允许的请求方法类型访问该跨域资源服务器,如:POST、GET、PUT、OPTIONS、DELETE等。allowedHeaders:允许所有的请求header访问,可以自定义设置任意请求头信息,如:"X-YYYY-TOKEN"allowCredentials: 是否允许请求带有验证信息,用户是否可以发送、处理 cookiemaxAge(3600) 设置允许访问的时间

3.5 安全隐患。

置任意请求头信息,如:“X-YYYY-TOKEN”allowCredentials: 是否允许请求带有验证信息,用户是否可以发送、处理 cookiemaxAge(3600) 设置允许访问的时间``

3.5 安全隐患。

CORS 的工作过程是通过 Ajax 发送跨域请求,这个也有潜在的威胁存在,常见的就是 CSRF(Cross-site request forgery)跨站请求伪造。跨站请求伪造也被称为 one-click attack 或者 session riding,通常缩写为 CSRF 或者 XSRF,是一种挟制用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法 。关于 CSRF 攻击的具体介绍和防御办法,我们在学习SpringSecurity(spring安全框架)后再具体讲解。

关键词: 安全隐患 请求方法 安全功能