跨域请求不被允许

最近在请求一个后端接口时报”preflight request doesn’t pass access control check”错误，网上查了一下原来是所谓的跨域请求造成的。

由于浏览器同源策略，凡是发送请求url的协议、域名、端口三者之间任意之一与当前页面地址不同即为跨域。

CORS

CORS是现代浏览器支持跨域资源请求的一种方式，当使用XMLHttpRequest发送请求时，浏览器发现该请求不符合同源策略，会给该请求加一个请求头：Origin，后台进行一系列处理，如果确定接受请求则在返回结果中加入一个响应头：Access-Control-Allow-Origin，浏览器判断该相应头中是否包含Origin的值，如果有则浏览器会处理响应，我们就可以拿到响应数据，如果不包含浏览器直接驳回，这时我们无法拿到响应数据。

整个CORS通信过程都是由浏览器自动完成。浏览器一旦发现ajax请求跨域，就会自动添加一些附加的有信息，有时还会多出一次附加的请求，但用户不会有感觉。因此实现cors通信的关键是服务器，只要服务器实现了CORS接口，就可以跨域通信。

浏览器将CORS请求分为两类：简单请求和复杂请求。只要同时满足以下两大条件，就属于简单请求：
（1）请求方法是以下三种方法之一：
HEAD; GET; POST
（2）HTTP的头信息不超出以下几种字段：
Accept；
Accept-Language;
Content-Language;
Last-Event-ID;
Content-Type:只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain。

如果不同时满足上面两个条件，就属于复杂请求。
浏览器对于这两种请求的处理是不一样的。

简单请求

对于简单请求的处理，浏览器直接发出cors请求，具体来说就是在头信息之中增加一个Origin字段。举个栗子如下：

GET /cors HTTP/1.1
Origin: http://api.bob.com
Host: api.alice.com
Accept-Language: en-US
Connection: keep-alive
User-Agent: Mozilla/5.0...

上面的头信息中，Origin字段用来说明，本次请求来自哪个请求源，服务器根据这个值，来决定是否同意本次请求。
如果Origin指定的源不在许可范围内，服务会返回一个正常的HTTP回应，浏览器发现回应的头信息中不含Access-Control-Allow-Origin字段就知道出错了，从而抛出一个错误，被XMLHttpRequest的onerror回调函数捕获。
如果Origin指定的域名在许可范围内，服务器返回的响应就会多个几个头信息字段：

Access-Control-Allow-Origin: http://api.bob.com
Access-Control-Allow-Credentials: true
Access-Control-Expose-Headers: FooBar
Content-Type: text/html; charset=utf-8

Access-Control-Allow-Origin字段是必须的，它的值要么是请求Origin字段的值，要么是一个*，表示接受任意域名的请求。
Access-Control-Allow-Credentials字段可选，是一个布尔值，表示是否允许发送Cookie，默认情况下，Cookie不包括CORS请求之中，设为true，即表示允许发送Cookie。这个值也只能设为true，如果服务器不要浏览器发送Cookie，删除该字段即可。
Access-Control-Expose-Headers该字段可选，CORS请求时，XMLHttpRequest对象的getResponseHeader方法只能拿到6个基本字段：Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。如果想拿到其他字段，就必须在Access-Control-Expose-Headers里面指定。上面的例子指定，getResponseHeader(“FooBar”)可以返回FooBar字段的值。
上面说到，CORS请求默认不发送Cookie和HTTP认证信息，如果要把Cookie发到服务器，一方面要服务器同意，指定Access-Control-Allow-Credentials字段。另一方法开发者必须在ajax请求中打开withCredentials属性。否则即使服务器统一发送Cookie，浏览器也不会发送。或者服务器要求设置Cookie，浏览器也不会处理。如果省略withCredentials设置，有的浏览器还是会一起发送Cookie，这是可以关闭withCredentials。
需要注意的是，如果要发送Cookie，Access-Control-Allow-Origin就不能设为星号，必须指定明确的、与请求网页一致的域名。同时，Cookie依然遵循同源政策，只有用服务器域名设置的Cookie才会上传，其他域名的Cookie并不会上传，且（跨源）原网页代码中的document.cookie也无法读取服务器域名下的Cookie。

复杂请求

复杂请求是那种对服务器有特殊要求的请求，比如请求方法是PUT或者DELETE，或者Content-Type字段的类型是application/json。
复杂请求的CORS请求会在正式通信之前，增加一次HTTP查询请求，称为预检（preflight）。
浏览器先询问服务器，当前网页所在的域名是否在服务器的许可名单之中，以及可以使用哪些HTTP动词和头信息字段，只有得到肯定答复，浏览器才会发出正式的XMLHttpRequest请求，否则就报错：preflight request doesn’t pass access control check。
预检请求用的请求方法是OPTIONS，表示这个请求是用来询问的。头信息里面，关键字段是Origin，表示请求来自哪个源。除了Origin字段，预检请求的头信息包括两个特殊字段：
Access-Control-Request-Method该字段用来列出CORS请求会用到哪些HTTP方法。
Access-Control-Request-Headers该字段是一个逗号分隔的字符串，指定浏览器CORS请求会额外发送的头信息字段。
服务器收到预检请求之后，检查了Origin，Access-Control-Request-Method和Access-Control-Request-Headers字段以后，确认允许跨源请求，就可以做出回应。
如果服务器否定了预检请求，就会返回一个正常的HTTP回应，但是没有任何CORS相关的头信息字段。这时浏览器就会认定服务器不同意预检请求，因此抛出错误。
一旦服务器通过了预检请求，以后每次浏览器正常的CORS请求就跟简单请求一样，会有一个Origin头信息字段，服务器的回应也都会有一个Access-Control-Allow-Origin头信息字段。

预检不通过的解决方法

资料很多。如果不改变前端，只在服务器端解决的话，可参考http://blog.csdn.net/james_wade63/article/details/50772041文中的三种解决方法。博主尝试过前两种方法后无效，最后找到了一个方法。添加一个CORS过滤器，对所有的请求添加响应头：

public class CorsFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        HttpServletRequest request= (HttpServletRequest) servletRequest;
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "GET,POST,DELETE,PUT,OPTIONS");
        response.setHeader("Access-Control-Allow-Headers","Origin, X-Requested-With, Content-Type, Accept");
        response.setHeader("Access-Control-Allow-Credentials", "true");
        response.setHeader("Access-Control-Max-Age", "180");
        filterChain.doFilter(servletRequest, servletResponse);
    }

    @Override
    public void destroy() {

    }
}

当然要在web.xml中添加过滤器，这里就不说了。

参考：
http://blog.csdn.net/wang379275614/article/details/53333775?locationNum=2&fps=1
http://blog.csdn.net/james_wade63/article/details/50772041
http://blog.csdn.net/LOVELONG8808/article/details/70046651?locationNum=2&fps=1