全面解决 Spring Security 中的跨域问题

Takumilovexu

已于 2024-10-09 16:54:12 修改

阅读量1.7k

点赞数 19

分类专栏： SpringSecurity_Oauth2 文章标签： java spring 后端

于 2024-09-19 09:00:00 首次发布

本文链接：https://blog.csdn.net/Takumilove/article/details/142336607

版权

SpringSecurity_Oauth2 专栏收录该内容

9 篇文章

订阅专栏

文章目录

1. 什么是跨域问题？

在现代前后端分离架构中，跨域问题（CORS，Cross-Origin Resource Sharing）是开发者经常遇到的难题之一。简单来说，跨域是指浏览器阻止不同源（不同域名、协议、或端口）之间的资源请求行为，这一机制旨在保护用户数据的安全。

1.1 为什么会出现跨域问题？

跨域限制是由浏览器的同源策略（Same-Origin Policy）引发的。它确保了网页只能访问与其相同源的资源，而不同源的请求会被视为潜在的安全威胁而被阻止。例如，前端应用运行在 http://localhost:3000，而后端 API 在 http://localhost:8080，就会产生跨域请求。

1.2 跨域问题的典型场景

典型的跨域问题发生在以下场景：

前端与后端分属不同的服务器或端口。
AJAX 请求被浏览器拦截，导致 API 无法响应。
复杂请求（如使用 PUT 或 DELETE）无法正常发送。

如果不处理跨域问题，前端无法与后端正常通信，从而影响整个项目的正常运行。

2. Spring Security 中如何处理跨域问题

2.1 基本解决方案

在 Spring Security 中，我们可以通过简单配置来处理跨域请求。只需添加一行代码，就可以轻松开启默认的跨域支持：

// 启用默认跨域支持
http.cors(withDefaults());

这行代码的作用是启用 Spring Security 的默认跨域配置。当使用这行代码时，Spring 会自动处理跨域请求，避免手动配置复杂的跨域策略。

2.2 配置示例：完整的跨域和安全设置

以下是一个完整的 Spring Security 配置示例，它不仅包含了跨域处理，还包括登录、注销以及异常处理的配置：

package com.takumilove.securitydemo.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

import static org.springframework.security.config.Customizer.withDefaults;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        // 配置请求授权
        http.authorizeHttpRequests(authorize -> authorize.anyRequest().authenticated());

        // 表单登录配置
        http.formLogin(form -> {
            form.loginPage("/login").permitAll()
                .usernameParameter("username")
                .passwordParameter("password")
                .failureUrl("/login?failure")
                .successHandler(new MyAuthenticationSuccessHandler())
                .failureHandler(new MyAuthenticationFailureHandler());
        });

        // 注销处理
        http.logout(logout -> {
            logout.logoutSuccessHandler(new MyLogoutSuccessHandler());
        });

        // 异常处理
        http.exceptionHandling(exception -> {
            exception.authenticationEntryPoint(new MyAuthenticationEntryPoint());
        });

        // 解决跨域问题
        http.cors(withDefaults());

        // 关闭 CSRF 防护（根据项目需求决定是否启用）
        http.csrf(csrf -> csrf.disable());

        return http.build();
    }
}

2.3 其他跨域配置方式

除了使用 http.cors(withDefaults()) 之外，我们还可以通过自定义跨域配置来实现更精细的控制。以下是一个使用 CorsConfiguration 的自定义示例：

import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Bean
public CorsFilter corsFilter() {
    CorsConfiguration config = new CorsConfiguration();
    config.addAllowedOrigin("http://localhost:3000");
    config.addAllowedMethod("*");
    config.addAllowedHeader("*");
    
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", config);
    
    return new CorsFilter(source);
}