Spring Security 配置 CORS 失效的问题

CORS  是解决跨域访问的一种策略，如果在 Spring boot 或者 Spring MVC 框架下使用可以说是零门槛、零难度。但是一旦项目引用了 security 后，却并不是那么容易了，不管你怎么配置，总是不生效，无法对指定的域名和源放行，也就是说，你想让你的目标域名可以使用js调用你的应用，却发现总是被 拒绝，报cors异常。

1、首先确保 spring mvc + security 可以正常运行；

2、在 spring security 的配置文件中配置必要的两个 bean，如下：

<!-- CORS 配置 -->

<bean id="corsConfigurationSource" class="org.springframework.web.cors.UrlBasedCorsConfigurationSource">
        <property name="corsConfigurations">
            <map>
                <entry key="/**">
                    <bean class="org.springframework.web.cors.CorsConfiguration">
                        <property name="allowCredentials" value="true"/>
                        <property name="allowedHeaders">
                            <list>
                                <value>*</value> <!-- 允许的请求头 -->
                            </list>
                        </property>
                        <property name="allowedMethods">
                            <list>
                                <value>GET</value>
                                <value>POST</value>
                                <value>PUT</value>
                                <value>DELETE</value>
                                <value>OPTIONS</value> <!-- 允许的请求方法 -->
                            </list>
                        </property>
                        <property name="allowedOrigins">
                            <list>
                                <!-- 允许的来源 -->
                                <value>http://www.xxxxx.com</value>
                                <value>http://xxxxx.com</value>
                            </list>
                        </property>
                    </bean>
                </entry>
            </map>
        </property>
    </bean>

    <bean id="corsFilter" class="org.springframework.web.filter.CorsFilter">
        <constructor-arg ref="corsConfigurationSource"/>
    </bean>

    <!-- CORS 配置结束 -->

以上配置网上都有，非常简单，照抄就行了。

3、指定 corsFilter 过滤器在其他 过滤器之前执行；；

    <security:http auto-config="true" use-expressions="true">
        <security:cors/> <!-- 启用 cors -->
        <!-- 其他配置 -->
        <!-- 必须指定 corsFilter 过滤器在所有的安全过滤器之前被注入执行，否则后面关于 cors 的配置完全 失效-->
        <security:custom-filter ref="corsFilter" before="CHANNEL_FILTER"/>
    </security:http>

看清楚了，必须把 <security:custom-filter ref="corsFilter" before="CHANNEL_FILTER"/> 加上，否则，corsFilter 过滤器是不起作用滴！！！！！！！