SpringMVC跨域问题排查以及源码实现 最近一次项目中,将SpringMVC版本从4.1.1升级到4.3.10,出现跨域失败的情况。关于同源策略和跨域解决方案,网上有很多资料。 项目采用的方式是通过实现过滤器Filter,在Response返回头文件添加跨域资源共享(CORS) 相关的参数。 response.addHeader("Access-Control-Allow-Origin", "http://test.com"); response.addHeader("Access-Control-Allow-Credentials", "true"); response.addHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PUT, HEAD"); response.addHeader("Access-Control-Allow-Headers", "Content-Type"); response.addHeader("Access-Control-Max-Age", "3600"); 发布完成,回归测试的过程发现跨域失败,但是本地开发是没有问题的。 经过排查线下和线上的区别,因为是前后端分离项目,所以线上基本会配置前端和后端独立的域名,通过跨域的方式调用。但是本地开发的时候,前端通过nginx配置转发请求到后端服务,也就避开了跨域的问题。所以为了不影响线上环境,先暂时把线上的调用改成和线下一致,服务正常。 后面开始排查具体的失败问题,开始排查的几个点: 4.1.1到4.3.10 SpringMVC有什么版本更新 为什么4.1.1没有问题,4.3.10会有问题,毕竟项目采用的跨域解决方案是比较通用(W3C标准 )的,没有涉及框架层面。 通过查看SpringMVC官方文档,从4.2.0版本开始,SpringMVC开始支持CORS跨域解决方案,主要表现是通过简单的配置,就可以支持CORS,从后面源码分析,可以看到本质还是对Response添加头文件。 https://docs.spring.io/spring/docs/4.2.0.RELEASE/spring-framework-reference/html 可以看到最快的方式实现CORS,通过xml配置 <mvc:cors> <mvc:mapping path="/**" /> </mvc:cors> 把项目代码原先的跨域方式改成,框架提供的方案。(去掉原先的过滤器) 再一次测试发现,并没有解决问题,还是和原先的效果是一样的。说明通过配置xml的实现和原先的实现几乎是一样的。继续排查问题。 可以看到跨域预处理请求返回状态码是302,考虑到几点:3xx一般是权限问题导致、跨域预处理请求头参数不会携带参数。所以联想到Login的拦截器,通过Debug打断点的方式,确实options请求走到了拦截器里面,那也就基本确认是因为拦截器校验失败,导致的跨域预处理请求失败。后面验证了之前4.1.1的校验过程,看到options请求并没有走到Login的拦截器。 通过上面的排查,也就有了后面的问题和源码解读。 为什么4.1.1和4.3.10的options请求拦截器处理不一样。 4.2.0以上版本Spring