Spring boot + Spring security 跨域鉴权失败却报跨域问题

问题场景：

在spring securit配置类中配置了authenticationEntryPoint()当用户尝试访问安全的REST资源而不提供任何凭据时，将调用此方法发送401 响应，然后使用postmam或者swagger都能正常看见正确的响应信息，在网页中却出现了跨域问题

/**
     * permitAll，会给没有登录的用户适配一个AnonymousAuthenticationToken，设置到SecurityContextHolder，方便后面的filter可以统一处理authentication
     * Spring Security相关的配置
     * 生命周期：在spring容器启动时加载
     *
     * @param httpSecurity
     * @throws Exception
     */
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {

        // 搜寻匿名标记 url： @AnonymousAccess 筛选出HandlerMapping中url映射方法带自定义注解 @AnonymousAccess 的url，进行过滤
        Map handlerMethodMap = SpringContextHolder.getBean(RequestMappingHandlerMapping.class).getHandlerMethods();
        for (Map.Entry infoEntry : handlerMethodMap.entrySet()) {
            HandlerMethod handlerMethod = infoEntry.getValue();
            if (null != handlerMethod.getMethodAnnotation(AnonymousAccess.class)) {
                httpSecurity.
                        authorizeRequests()
                        // 自定义匿名访问所有url放行 ： 允许匿名和带权限以及登录用户访问
                        .antMatchers(
                                HttpMethod.resolve(infoEntry.getKey().getMethodsCondition().getMethods().iterator().next().name()),
                                infoEntry.getKey().getPatternsCondition().getPatterns().toArray(new String[0])[0])
                        .permitAll();
            }
        }

        httpSecurity
                // 禁用 CSRF
                .csrf().disable()
                // 授权异常
                .exceptionHandling()
                .authenticationEntryPoint((httpServletRequest, httpServletResponse, e) -> {
                    // 当用户尝试访问安全的REST资源而不提供任何凭据时，将调用此方法发送401 响应
                    httpServletResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED, e == null ? "Unauthorized" : e.getMessage());
                })
                .accessDeniedHandler((httpServletRequest, httpServletResponse, e) -> {
                    //当用户在没有授权的情况下访问受保护的REST资源时，将调用此方法发送403 Forbidden响应
                    httpServletResponse.sendError(HttpServletResponse.SC_FORBIDDEN, e.getMessage());
                })
                // 防止iframe 造成跨域
                .and()
                .headers()
                .frameOptions()
                .disable()
                // 不创建会话
                .and()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                //放行请求和添加过滤器
                .and()
                .authorizeRequests()
                // 所有请求都需要认证
                .anyRequest().authenticated()
                .and().apply(new SecurityConfigurerAdapter() {
                                 @Override
                                 public void configure(HttpSecurity http) {
                                     http.addFilterBefore(new JwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
                                 }
                             }
        );

尽管我已经配置了统一的跨域配置

   /**
     * CROS跨域请求处理方式
     *
     * @return
     */
    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        // 允许cookies跨域
        config.setAllowCredentials(true);
        // #允许向该服务器提交请求的URI，*表示全部允许，在SpringMVC中，如果设成*，会自动转成当前请求头中的Origin
        config.addAllowedOriginPattern("*");
        // #允许访问的头信息,*表示全部
        config.addAllowedHeader("*");
        // 预检请求的缓存时间（秒），即在这个时间段里，对于相同的跨域请求不会再预检了
        config.setMaxAge(18000L);
        // 允许提交请求的方法类型，*表示全部允许
        config.addAllowedMethod("OPTIONS");
        config.addAllowedMethod("HEAD");
        config.addAllowedMethod("GET");
        config.addAllowedMethod("PUT");
        config.addAllowedMethod("POST");
        config.addAllowedMethod("DELETE");
        config.addAllowedMethod("PATCH");
        source.registerCorsConfiguration("/**", config);

        return new CorsFilter(source);
    }

前端处理响应时却出现跨域问题

Access to XMLHttpRequest at 'http://localhost:8081/user/detailInfo' from origin 'http://localhost:4200' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.

思考：

首先回想跨域问题，其实我已经设置跨域的配置，并且对于一般的请求，我已经在Spring security 中进行处理不去对它进行处理（这块也需要注意，是否进行了配置），此时我的CORS 配置还没有生效，所以和 spring security 中使用的跨域需要设置新的变化，Spring Security 其实也是filter 链，那就牵扯到 顺序的问题

解决

/**
     * CROS跨域请求处理方式
     *
     * @return
     */
    @Bean
    public FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        // 允许cookies跨域
        config.setAllowCredentials(true);
        // #允许向该服务器提交请求的URI，*表示全部允许，在SpringMVC中，如果设成*，会自动转成当前请求头中的Origin
        config.addAllowedOriginPattern("*");
        // #允许访问的头信息,*表示全部
        config.addAllowedHeader("*");
        // 预检请求的缓存时间（秒），即在这个时间段里，对于相同的跨域请求不会再预检了
        config.setMaxAge(18000L);
        // 允许提交请求的方法类型，*表示全部允许
        config.addAllowedMethod("OPTIONS");
        config.addAllowedMethod("HEAD");
        config.addAllowedMethod("GET");
        config.addAllowedMethod("PUT");
        config.addAllowedMethod("POST");
        config.addAllowedMethod("DELETE");
        config.addAllowedMethod("PATCH");
        source.registerCorsConfiguration("/**", config);
        FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(new CorsFilter(source));
        // 代表这个过滤器在众多过滤器中级别最高，也就是过滤的时候最先执行
        filterRegistrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
        return filterRegistrationBean;
    }

在跨域配置中把跨域配置设置为最高级别，也就是最早执行的，就可以避免部分请求被框架拦截而没有经过跨域配置过滤器，关键代码filterRegistrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);