SpringBoot2.x系列教程36--整合SpringMVC之CORS跨域访问处理(上)

SpringBoot2.x系列教程36--整合SpringMVC之CORS跨域访问处理(上)

作者：一一哥

一. 跨域问题及解决

1. 什么是跨域访问？

JavaScript出于安全方面的考虑,做了一个同源策略的限制，也就是说不允许跨域访问其他资源，更通俗的说就是浏览器不能执行其他网站的脚本。它是由浏览器的同源策略造成的，是浏览器对JavaScript实施的安全限制。

2. 什么是同源策略？

所谓的同源是指域名、协议、端口均为相同。

举例来说，http://www.yiyige.com/dir/syc.html这个网址，协议是http://，域名是www.yiyige.com，端口是80(默认端口可以省略).

3. 同源策略的作用

同源政策的目的是为了防止恶意网站通过冒充用户来窃取用户的数据信息，同源策略提高了攻击成本。

同源策略限制了以下行为:

• Cookie、LocalStorage 和 IndexDB 无法读取；
• DOM 和 JS 对象无法获取；
• Ajax请求发送不出去。

4. 怎样算是跨域访问？

如下相对http://store.company.com/dir/page.html同源检测的示例:

也就是说如果域名、协议、端口三者之间，如果有一个不同，则认为不是一个网站，则会存在跨域问题。

5. 解决跨域限制的方法

• 跨域资源共享 CORS;
• 使用ajax的jsonp;
• 使用jQuery的jsonp插件;
• document.domain + iframe 跨域;
• window.name + iframe 跨域;
• location.hash + iframe 跨域;
• postMessage跨域;
• WebSocket协议跨域;
• node代理跨域;
• nginx代理跨域.

二. CORS跨域解决方案

本章节我将带领大家，在SpringBoot项目利用CORS方案，来解决跨域方案。

1. CORS简介

CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。
它允许浏览器向跨源(协议 + 域名 + 端口)服务器，发出XMLHttpRequest请求，从而克服了AJAX只能同源使用的限制。

CORS需要浏览器和服务器同时支持。它的通信过程，都是浏览器自动完成的，不需要用户参与。
对于开发者来说，CORS通信与同源的AJAX/Fetch通信没有差别，代码完全一样。
浏览器一旦发现请求跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。
因此，实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨源通信。

2. CORS请求分类

浏览器将CORS请求分成两类:

简单请求（simple request）和非简单请求（not-so-simple request）。

简单请求:
浏览器发出CORS简单请求，只需要在头信息之中增加一个Origin字段。

非简单请求:
浏览器发出CORS非简单请求，会在正式通信之前，增加一次OPTIONS查询请求，称为"预检"请求（preflight）。浏览器先询问服务器，当前网页所在的域名是否在服务器的许可名单之中，以及可以使用哪些HTTP动词和头信息字段。只有得到肯定答复，浏览器才会发出正式的XMLHttpRequest请求，否则就报错。

简单请求就是HEAD、GET、POST请求，并且HTTP的头信息不超出以下几种字段:
Accept、Accept-Language、Content-Language、Last-Event-ID、Content-Type

注:

Content-Type只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain

反之，就是非简单请求。

所以实现CORS很简单，就是在服务端加一些响应头，并且这样做对前端来说是无感知的，很方便。

3. 响应头详解：

Access-Control-Allow-Origin

该字段是必填字段。它的值要么是请求时Origin字段的具体值，要么是一个*，表示接受任意域名的请求。

Access-Control-Allow-Methods

该字段是必填字段。它的值是逗号分隔的一个具体的字符串或者*，表明服务器支持的所有跨域请求的方法。

注意：

返回的是所有支持的方法，而不单是浏览器请求的那个方法，这是为了避免多次"预检"请求。

Access-Control-Expose-Headers

该字段可选。CORS请求时，XMLHttpRequest对象的getResponseHeader()方法只能拿到6个基本字段：Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。
如果想拿到其他字段，就必须在Access-Control-Expose-Headers里面指定。

Access-Control-Allow-Credentials

该字段可选。它的值是一个布尔值，表示是否允许发送Cookie. 默认情况下，不发生Cookie，即：false。对服务器有特殊要求的请求，比如请求方法是PUT或DELETE，或者Content-Type字段的类型是application/json，这个值只能设为true。如果服务器不要浏览器发送Cookie，删除该字段即可。

Access-Control-Max-Age

该字段可选，用来指定本次预检请求的有效期，单位为秒。在有效期间，不用发出另一条预检请求。

注意：

如果在开发中，发现每次发起请求都是两条，一次OPTIONS，一次正常请求。注意是每次，那么就需要配置Access-Control-Max-Age，避免每次都发出预检请求。