@CrossOrigin 注解 http.csrf().disable() 有什么区别？

Question

此问题与Disable Keycloak authentication for a specific url in spring-boot有关

我有一个第 3 方仪表板，它通过 iFrame 管理我的前端。但它直接通过它的搜索小部件调用我的搜索 api。下面提到的代码仅解决此搜索 API 的 CORS 问题并发送此错误 ，所有其他 API 都可以顺利运行。

    @Override
protected void configure(@Nonnull final HttpSecurity http) throws Exception {
    super.configure(http);

    http.csrf().disable();

    http
            .cors()
            .and()
            .authorizeRequests()
            .antMatchers("/health", "/error").permitAll()
            .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
            .anyRequest().authenticated();
}

现在我在控制器上添加了以下代码并开始工作：

@CrossOrigin(origins = "https://dashboard-url")

所以，

1. 这是正确的方法吗？使用这个有什么陷阱吗？
2. 这两个有什么区别，我以前的方法缺少什么。
3. 我有 3 个阶段 (dev/stage/prod)，我可能需要在其中添加此 @CrossOrigin 注释，以及如何继续的任何建议。我可以使用配置文件，但 prod 没有特定的 -prod 标签，例如dev 和 stage 具有以下 url dashboard-dev.com/dashboard-stage.com。但 prod 只有 dashboard.com。

Answer 1

是的，你的做法是正确的

请检查网址

1. https://spring.io/blog/2015/06/08/cors-support-in-spring-framework
2. https://docs.spring.io/spring-security/site/docs/5.1.3.RELEASE/reference/html5/#cors

如果您使用 Spring Security，请确保在 Spring Security 级别启用 CORS，以允许它利用在 Spring MVC 级别定义的配置。

因此，根据您的编码，您已经使用 http.cors() 启用了安全性 cors，并且由于没有定义 corsConfigurationSource（CORS 过滤器），它使用使用 @CORS(***) 定义的 MVC 级别

但是，如果您希望这些值是动态的，您可以如下使用基于 env 从外部文件中获取的值

@Bean
    CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
        configuration.setAllowedMethods(Arrays.asList("GET","POST"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }