CORS解决跨域问题详解

引入问题

一.为什么会出现跨域问题？
不同源(ip地址、协议、端口都相同才是同源)，只要IP地址或者协议或者端口只要有一项不同，都会出现跨域问题。

二.出现的场景
1.前端后分离，前端代码和后端代码部署在不同的服务器中。
2.第三方合作方通过前端调用api接口。

三.使用CORS会出现那些的问题？

1.CORS导致sessionId不一致问题。
2.非简单请求会发送两次请求(预请求和真实请求)。导致在预请求是不会携带请求参数。
3.与拦截器冲突导致CORS失效并报出异常问题。

 if (CorsUtils.isCorsRequest(request)) {}  //用于判断是否跨域请求
 

String header = request.getHeader(HttpHeaders.ORIGIN);//获取跨域请求的ip地址+端口号

CorsUtils.isPreFlightRequest(request) //请求是否是 预检测

什么是CROS

CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE浏览器不能低于IE10。
整个CORS通信过程，都是浏览器自动完成，不需要用户参与。对于开发者来说，CORS通信与同源的AJAX通信没有差别，代码完全一样。浏览器一旦发现AJAX请求跨源，就会自动添加一些附加的头信息，有时还会多出一次附加的请求，但用户不会有感觉。

因此，实现CORS通信的关键是服务器。只要服务器实现了CORS接口，就可以跨源通信。

浏览器将CORS请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）。

只要同时满足以下两大条件，就属于简单请求。

（1) 请求方法是以下三种方法之一：（也就是说如果你的请求方法是什么put、delete等肯定是非简单请求）
	HEAD
	GET
	POST

（2）HTTP的头信息不超出以下几种字段：（如果比这些请求头多，那么一定是非简单请求）
	Accept
	Accept-Language
	Content-Language
	Last-Event-ID
	Content-Type：只限于三个值application/x-www-form-urlencoded、multipart/form-data、text/plain，也就是说，如果你发送的application/json格式的数据，那么肯定是非简单请求，vue的axios默认的请求体信息格式是json的，ajax默认是urlencoded的。

凡是不同时满足上面两个条件，就属于非简单请求。

简单请求和非简单请求的区别？

简单请求：一次请求
非简单请求：两次请求，在发送数据之前会先发一次请求用于做“预检”，只有“预检”通过后才再发送一次请求用于数据传输。

* 关于“预检”
 请求方式：OPTIONS
- “预检”其实做检查，检查如果通过则允许传输数据，检查不通过则不再发送真正想要发送的消息
- 如何“预检”
     => 如果复杂请求是PUT等请求，则服务端需要设置允许某请求，否则“预检”不通过
        Access-Control-Request-Method
     => 如果复杂请求设置了请求头，则服务端需要设置允许某请求头，否则“预检”不通过
        Access-Control-Request-Headers

支持跨域，简单请求
服务器设置响应头：Access-Control-Allow-Origin = ‘域名’ 或 ‘*’
response.addHeader(“Access-Control-Allow-Origin”, “”);

支持跨域，复杂请求

由于复杂请求时，首先会发送“预检”请求，如果“预检”成功，则发送真实数据。

“预检”请求时，允许请求方式则需服务器设置响应头：Access-Control-Request-Method

response.addHeader("Access-Control-Allow-Methods", "POST,GET,PUT,DELETE");

“预检”请求时，允许请求头则需服务器设置响应头：Access-Control-Request-Headers

 response.addHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With,Content-Type,Accept,jssesionId,appId,sign,nonceStr");

  $.ajax({
            url:'http://127.0.0.1:8001/books/',
            //type:'delete',
            //type:'post',
            type:'put',
            contentType:'application/json',//非简单请求，会报错：Request header field content-type is not allowed by Access-Control-Allow-Headers in preflight response.
            //需要设置Access-Control-Allow-Headers
            data:JSON.stringify({
               a:'1'
            }),
            headers:{b:'2'},
            success:function (response) {
                console.log(response);
            }

   })

Access-Control-Allow-Credentials
该字段可选。它的值是一个布尔值，表示是否允许发送Cookie。默认情况下，Cookie不包括在CORS请求之中。设为true，即表示服务器明确许可，Cookie可以包含在请求中，一起发给服务器。这个值也只能设为true，如果服务器不要浏览器发送Cookie，删除该字段即可。

CORS请求默认不发送Cookie和HTTP认证信息。如果要把Cookie发到服务器，一方面要服务器同意，指定Access-Control-Allow-Credentials字段。

服务端设置
Access-Control-Allow-Credentials: true

必须在AJAX请求中打开withCredentials属性。 客户端设置ajax请求中

var ajaxData={"nmsName":"860301100002303","channelId":"1",
	    "stamp":"1",
        "talkId":"5"};
        
                $.ajax({
                url: 'http://192.168.1.86:52467/openApi/xxxx.dcw',
                type:'POST',
                data: JSON.stringify(ajaxData),//
                dataType: "JSON",
                xhrFields: {
           withCredentials: true
       },
       crossDomain: true,
                headers:{"jssesionId":"f56303b6df98a35a2d195172a7f6a9cf"},
                contentType: 'application/json',
                success: function (res) {
                    console.log(res)
                 }
                });
            })

否则，即使服务器同意发送Cookie，浏览器也不会发送。或者，服务器要求设置Cookie，浏览器也不会处理。但是，如果省略withCredentials设置，有的浏览器还是会一起发送Cookie。

需要注意的是，如果要发送Cookie，Access-Control-Allow-Origin就不能设为星号，必须指定明确的、与请求网页一致的域名

Access-Control-Max-Age
该字段可选，用来指定本次预检请求的有效期，单位为秒。

与JSONP的比较

CORS与JSONP的使用目的相同，但是比JSONP更强大。
JSONP只支持GET请求，CORS支持所有类型的HTTP请求。JSONP的优势在于支持老式浏览器，以及可以向不支持CORS的网站请求数据。