@CrossOrigin 跨域介绍

@CrossOrigin 是Spring框架提供的一种注解，主要用于处理跨域请求（CORS，Cross-Origin Resource Sharing）。跨域问题是由浏览器的同源策略造成的，即浏览器出于安全考虑，限制了一个源（origin）的文档或脚本与来自另一个源的资源进行交互。这里的“源”指的是协议、域名和端口的三元组。

@CrossOrigin 注解的作用

@CrossOrigin 注解可以应用于Controller类或方法上，用于指定哪些来源的跨域请求被允许。通过该注解，开发者可以灵活地配置CORS策略，而无需编写额外的过滤器或拦截器代码。

使用方法

1. 在Controller类上使用：当在Controller类上添加@CrossOrigin注解时，该类中的所有方法都将支持跨域请求。可以指定允许的源（origins）、请求方法（methods）、请求头（headers）等。

@RestController  
@CrossOrigin(origins = "http://example.com", methods = "*")  
public class MyController {  
    // 控制器方法  
}

2. 在Controller方法上使用：当在特定的方法上添加@CrossOrigin注解时，只有该方法支持跨域请求。这允许开发者对不同的方法应用不同的CORS策略。

@RestController  
public class MyController {  

    @CrossOrigin(origins = "http://example.com", methods = "GET")  
    @GetMapping("/hello")  
    public String hello() {  
        return "Hello, world!";  
    }  

    // 其他方法可能不支持跨域  
}

配置选项

@CrossOrigin 注解支持多种配置选项，包括但不限于：

• origins：允许访问的源列表，可以使用通配符“*”表示接受所有源。
• methods：允许的HTTP方法，如GET、POST、PUT等，也可以使用“*”表示接受所有方法。
• allowedHeaders：允许携带的请求头列表。
• exposedHeaders：响应中需要暴露给客户端的头部列表。
• allowCredentials：是否允许携带凭证（如Cookies和HTTP认证信息），默认为false。当设置为true时，Access-Control-Allow-Origin不能设置为“*”，必须明确指定允许的源。
• maxAge：预检请求的结果（即Access-Control-Allow-Methods和Access-Control-Allow-Headers等信息）可以被缓存的最大时间，以秒为单位。

注意事项

• 在使用@CrossOrigin注解时，需要确保Spring MVC的版本在4.2及以上，因为Spring Framework 4.2 GA为CORS提供了第一类支持。
• 如果在Spring Security环境中使用@CrossOrigin注解，需要确保在Spring Security级别也启用了CORS，并允许它利用Spring MVC级别定义的配置。
• 在生产环境中，建议明确指定允许的源，而不是使用“*”通配符，以提高安全性。

结论

@CrossOrigin 注解是Spring框架提供的一种强大而灵活的工具，用于处理跨域请求。通过简单的注解配置，开发者可以轻松地实现CORS策略，提高Web应用程序的可用性和安全性。