web项目解决跨域请求校验Origin头

Java如何校验Origin头
在Web开发中，跨域请求是一个常见的问题。为了保护服务器不受恶意攻击，通常需要对请求头中的Origin进行校验，以确保请求来自可信任的来源。在Java中，我们可以通过过滤器(Filter)来实现对Origin头的校验。本文将介绍如何使用Java过滤器来校验Origin头，并提供示例代码。

问题描述
在一个Web应用程序中，我们希望对请求中的Origin头进行校验，以确保请求来自可信任的来源。我们需要一个方法来拦截所有请求，并检查Origin头的值是否符合我们的预期。

解决方案
我们可以使用Java的过滤器(Filter)来实现对Origin头的校验。过滤器是Servlet规范的一部分，用于在请求到达Servlet之前或之后对请求进行处理。通过编写一个过滤器，我们可以在请求到达服务器之前拦截请求，并校验Origin头的值。

创建过滤器
首先，我们需要创建一个实现了javax.servlet.Filter接口的过滤器类。该类需要实现三个方法：init()、doFilter()和destroy()。
 

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class OriginFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化方法
    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        String origin = request.getHeader("Origin");

        // 校验Origin头的值是否符合预期
        if (isValidOrigin(origin)) {
            // 如果Origin头有效，则继续处理请求
            filterChain.doFilter(servletRequest, servletResponse);
        } else {
            // 如果Origin头无效，则返回403错误
            HttpServletResponse response = (HttpServletResponse) servletResponse;
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "Origin not allowed");
        }
    }

    @Override
    public void destroy() {
        // 销毁方法
    }

    private boolean isValidOrigin(String origin) {
        // 在这里编写校验逻辑，比如检查Origin头是否在白名单中
        return true; // 简单起见，这里直接返回true
    }
}
 

配置过滤器
接下来，我们需要在web.xml文件中配置我们的过滤器。在web.xml中添加以下配置：

复制 
<filter>
    <filter-name>OriginFilter</filter-name>
    <filter-class>com.example.OriginFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>OriginFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
 

以上配置会将我们的过滤器应用到所有的请求上。当请求到达服务器时，过滤器会拦截请求并校验Origin头的值。

测试过滤器
为了测试我们的过滤器，我们可以创建一个简单的Servlet来接收请求，并输出请求的Origin头的值。

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@WebServlet("/test")
public class TestServlet extends HttpServlet {

    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        String origin = req.getHeader("Origin");
        resp.getWriter().println("Origin: " + origin);
    }
}