域名及跨域问题

1.域名问题

刚开始开发的时候，我们使用IP+端口号的形式访问服务。
但是这样的话，如果运行环境改变了之后就会出现问题，我们需要用不同的IP访问服务。

解决1

统一使用域名来访问服务。
门户系统：www.leyou.com
管理系统：manage.leyou.com
网关：api.leyou.com
127.0.0.1 api.leyou.com
127.0.0.1 manage.leyou.com
127.0.0.1 image.leyou.com
127.0.0.1 www.leyou.com
但是这样就引入了一个域名解析的问题

解决2

浏览器会首先在本机的host文件中查找域名映射。如果找到就返回IP。
C:/Windows/System32/drivers/etc/hosts，在这里配置一下就好。
解决了域名的问题之后，发现端口每次都需要自己写，这就引入了一个反向代理的问题。
什么是反向代理参考这里

解决3

我们就使用Nginx进行反向代理的实现。通过更改Nginx的配置文件，监听域名，然后进行相应的端口映射并转发。

2.跨域问题

解决了域名问题之后我们从manage.leyou.com去访问api.leyou.com报了No Access control Allow origion header is present on the request resource。

查了一下发现这就是跨域问题，是对异步Ajax请求的一种安全限制。

解决

nginx反向代理

思路是：利用nginx把跨域反向代理为不跨域，支持各种请求方式
缺点：需要在nginx进行额外配置，语义不清晰

CORS

规范化的跨域请求解决方案，安全可靠。

• 在服务端进行控制是否允许跨域，可自定义规则
• 支持各种请求方式

这里使用cors解决跨域 。

主要原理

• 原理比较复杂，但主要就是如果服务器允许跨域，服务器端需要在返回的响应头中携带：
  Access-Control-Allow-Origin：可接受的域，是一个具体域名或者*（代表任意域名）

• 实现比较简单
  在zuul网关中编写一个配置类，将CorsFilter注册进Spring容器，在过滤器中允许跨域请求就好了。

3.跨域cookie问题

cookie也是有域 的限制，一个网页，只能操作当前域名下的cookie。

• 跨域请求cookie生效的条件：
  服务的响应头中需要携带Access-Control-Allow-Credentials并且为true。
  响应头中的Access-Control-Allow-Origin一定不能为*，必须是指定的域名
  浏览器发起ajax需要指定withCredentials 为true

CookieUtils内部有一个获取domain的方法：它获取domain是通过服务器的host来计算的。domain获取到了主机地址。

• 使用了nginx反向代理，当监听到api.leyou.com的时候，会自动将请求转发至127.0.0.1:10010，即Zuul。

• 而后请求到达我们的网关Zuul，Zuul就会根据路径匹配，我们的请求是/api/auth，根据规则被转发到了 127.0.0.1:8087 ，即授权中心。

计算domain是错误的，从而导致cookie设置失败！

解决

先修改Nginx
再修改网关配置
然后
Zuul内部有默认的过滤器，会对请求和响应头信息进行重组，过滤掉敏感的头信息：通过一个属性为SensitiveHeaders的属性，来获取敏感头列表，然后添加到IgnoredHeaders中，这些头信息就会被忽略。

而这个SensitiveHeaders的默认值就包含了set-cookie：

解决方案有两种：

全局设置：

zuul.sensitive-headers=

指定路由设置：

zuul.routes.<routeName>.sensitive-headers=

zuul.routes.<routeName>.custom-sensitive-headers=true

思路都是把敏感头设置为null