请描述一下如何在SpringBoot项目中实现跨域请求（CORS）的处理?
参考回答
在Spring Boot项目中，跨域请求（CORS, Cross-Origin Resource Sharing）可以通过两种常见的方式来处理：
- 全局配置方式：通过
WebMvcConfigurer接口在全局范围内配置CORS。 - 局部配置方式：通过
@CrossOrigin注解在特定的Controller或者方法上进行配置。
这两种方式可以根据需求选择，通常全局配置适用于需要对整个应用启用CORS的场景，而局部配置适用于只需要在特定接口启用CORS的情况。
详细讲解与拓展
1. CORS简介
跨域请求是指在一个域名下的网页去请求另一个域名下的资源。浏览器会限制不同源的网页进行交互，默认情况下，不同源的请求会被阻止。CORS（跨域资源共享）是一种W3C标准，它允许服务器声明哪些来源的网页可以访问其资源。
2. Spring Boot中处理CORS的两种方式
1. 全局CORS配置（WebMvcConfigurer）
通过实现WebMvcConfigurer接口，可以在全局范围内配置CORS规则，使得所有的请求都能够遵循这些规则。
在Spring Boot应用的配置类中添加如下代码：
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class WebConfig implements WebMvcConfigurer {
@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/**") // 允许所有路径
.allowedOrigins("http://localhost:3000") // 允许的源地址
.allowedMethods("GET", "POST", "PUT", "DELETE") // 允许的HTTP方法
.allowedHeaders("*") // 允许的请求头
.allowCredentials(true) // 是否允许带上认证信息
.maxAge(3600); // 预检请求缓存时间
}
}
解释：
– addMapping("/**")：表示对所有的请求路径都允许跨域。
– allowedOrigins("http://localhost:3000")：指定允许的跨域来源。这里指定的是http://localhost:3000，可以根据需要修改为其他域名或*（允许所有来源）。
– allowedMethods("GET", "POST", "PUT", "DELETE")：指定允许的HTTP方法。
– allowedHeaders("*")：允许的请求头。
– allowCredentials(true)：表示是否允许携带凭证（如Cookies等）。
– maxAge(3600)：指定预检请求的缓存时间，单位为秒。
2. 局部CORS配置（@CrossOrigin注解）
如果只想对某个Controller或者某个接口启用CORS，可以使用@CrossOrigin注解进行配置。
示例代码：
import org.springframework.web.bind.annotation.CrossOrigin;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class MyController {
@CrossOrigin(origins = "http://localhost:3000")
@GetMapping("/api/data")
public String getData() {
return "This is data from backend";
}
}
解释：
– @CrossOrigin(origins = "http://localhost:3000")：此注解表示只允许http://localhost:3000这个域名发起跨域请求。
– 你也可以设置更多的参数，如allowedMethods、allowedHeaders等，具体配置和全局配置类似。
如果你需要允许所有的来源跨域，可以使用@CrossOrigin注解的默认值（origins = "*")：
@CrossOrigin
@GetMapping("/api/data")
public String getData() {
return "This is data from backend";
}
3. Spring Security中配置CORS
如果你的项目中使用了Spring Security进行安全控制，CORS配置需要在Spring Security的配置类中进行配置。否则，Spring Security可能会拦截CORS请求，从而导致跨域请求失败。
在Spring Security配置类中添加如下CORS配置：
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.cors().and()
.authorizeRequests()
.anyRequest().authenticated();
}
@Bean
public CorsConfigurationSource corsConfigurationSource() {
CorsConfiguration configuration = new CorsConfiguration();
configuration.addAllowedOrigin("http://localhost:3000");
configuration.addAllowedMethod("*");
configuration.addAllowedHeader("*");
configuration.setAllowCredentials(true);
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
}
解释：
– http.cors()：启用CORS配置。
– corsConfigurationSource()：配置CORS规则，类似于全局配置的CorsRegistry。
3. CORS预检请求（OPTIONS）
浏览器在进行跨域请求时，如果请求方法不是简单请求（比如GET和POST），浏览器会先发一个OPTIONS请求来探测目标服务器是否支持CORS。如果服务器允许跨域访问，它会返回相应的CORS头部信息。
Spring Boot自动处理OPTIONS请求，但你可以自定义OPTIONS请求的处理逻辑。
总结
CORS配置是Spring Boot应用中一个非常常见的需求，可以通过全局配置或者局部注解来实现。全局配置适用于整个应用，而@CrossOrigin注解适用于特定的Controller或方法。在涉及到Spring Security时，还需要额外的配置来确保CORS请求不被安全拦截。