Spring Security CORS 问题：“选项 http://localhost:8080/403 ()”[重复]

Question

我一直在做一个在我的后端使用 spring + spring security 的项目，最近遇到了一个与 cors 相关的问题：

前两行您可以看到成功的 api 调用输出，随后 chrome 尝试将带有选项标头的 Http 请求发送到我的休息服务。

---

我的问题是这个问题的潜在根源是什么？

---

我在 dev 中的前端使用 angular CLI 客户端，在我为 Spring Security 创建自定义过滤器并添加我的 WebConfigurerAdapter 配置之前，我没有遇到任何 CORS 问题。如果需要，很乐意提供额外的代码。但是我认为它与此无关，因为我删除了过滤器并且发生了同样的问题。

在 chrome、firefox 和 ubuntu 浏览器中测试出现同样的问题。

Angular CLI 正在成功代理对“/api/[blah]”的调用

这是我的代理配置，我试过只匹配所有内容，但这没有区别。

{
"/api/*": {
  "target": "http://localhost:8080",
  "secure": false,
  "logLevel": "debug",
  "changeOrigin": true
}

}

WebSecurityAdapter配置

@Override
protected void configure(HttpSecurity http) throws Exception {

    http
            .httpBasic()
            .and()
            .authorizeRequests()
            .antMatchers("/index.html",  "/api/registration", "/api/authenticate",
                    "/api/isAuthenticated", "/api/validateCaptcha", "/console", "/api/loginRecaptchaRequired", "/api/login", "/")
            .permitAll()
            .anyRequest()
            .authenticated()
            .and()
            .addFilterBefore(
                    authenticationFilter(),
                    UsernamePasswordAuthenticationFilter.class)
            .logout()
            .logoutUrl("/api/logout")
            .and()
            .csrf()
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            .and()
            .addFilterAfter(csrfHeaderFilter(), SessionManagementFilter.class);

}

请求标头：

Answer 1

为什么您的代码不起作用

您缺少 Access-Control-Allow-Origin 标头，因此不允许任何站点向您的站点发出 CORS 请求

修复

您可以：

• 从同一来源发出请求
• 使用 spring security 将标头添加到响应中
• 手动添加标题

允许的来源

标头可以是允许的来源白名单，也可以是* 以允许任何来源发送请求。

这是否会停止除白名单之外的所有请求

这仅在浏览器中提供保护，恶意软件仍然可以向任何端点发出请求，而无需遵守 CORS。