SpringBoot2.0 + Shiro 跨域问题 踩坑记录

最近一个项目用了gitee上“ruoyi”的Web框架（SpringBoot2.0 + Shiro + Mybatis）。给大家推荐一下，开源的洗剥干净的成品，可以直接拿过来进行二次开发，对于从未接触过Springboot而又想进行框架升级转型的项目来说，是个不错的选择!

进入正题，app端ajax跨域访问各种问题来了。

1. Springboot如何跨域？

最简单的方法是：

定义一个配置CorsConfig类即可（是不是简单且无耦合到令人发指）

@Configuration
public class CorsConfig {

	private CorsConfiguration buildConfig() {
		CorsConfiguration corsConfiguration = new CorsConfiguration();
		corsConfiguration.addAllowedOrigin("*");
		corsConfiguration.addAllowedHeader("*");
		corsConfiguration.addAllowedMethod("*");		
		corsConfiguration.setMaxAge(3600L);         // 预检请求的有效期，单位为秒。
		corsConfiguration.setAllowCredentials(true);// 是否支持安全证书(必需参数)
		return corsConfiguration;
	}

	@Bean
	public CorsFilter corsFilter() {
		UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
		source.registerCorsConfiguration("/**", buildConfig());
		return new CorsFilter(source);
	}
}

不要用WebMvcConfigurerAdapter继承的方法了，因为已经过时了，Springboot2.0已经不推荐此方法。

此处有一个比较坑的地方就是：

corsConfiguration.setMaxAge(3600L);         // 预检请求的有效期，单位为秒。
corsConfiguration.setAllowCredentials(true);// 是否支持安全证书(必需参数)

这两句务必要加上，不然无论前端怎么做，也无论后台你对shiro的过滤器怎么重写，response请求返回状态都是302。

网络上大家的代码都是copy来copy去，往往没有这2句，所以这个坑真是眼泪汪汪。

 

2. 前端在发送请求是，是否需要加上跨域参数？（以下两句为跨域参数）

crossDomain: true,                       
xhrFields: {withCredentials: true},

答案是肯定的。

如果不加跨域参数，通过在ShiroConfig中配置某些URL不鉴权（匿名访问），倒也可以（但是不推荐，你不可能把所有的URL都设置为匿名访问，那要鉴权做什么？）。

filterChainDefinitionMap.put("/login/**", "anon");   //类似于URL路径中含有login的不鉴权

那么这两句的作用是什么？    -- 利用cookie维持session的会话跟踪。 

别问我怎么知道的，我是猜出来的。测试结果验证了我的猜想！

（全文已结束）

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

老规矩，贴出我的后台代码：

	/**
	 * App查询施工工单数据列表
	 */
	@RequiresPermissions("ict:ictOrder:list")
	@PostMapping("/listforapp")
	@ResponseBody
	public TableDataInfo listForApp(IctOrder ictOrder)
	{
		//startPage();
		String operName = ShiroUtils.getSysUser().getLoginName();
		SysUser user = userService.selectUserByLoginName(operName);
		ictOrder.setProjectManager(String.valueOf(user.getUserId()));
        List<IctOrder> list = ictOrderService.selectIctOrderList(ictOrder);
        for(IctOrder _ictOrder : list) {
        	_ictOrder.setOrderState(OrderStatus.getCnName(_ictOrder.getOrderState()));
        }
		return getDataTable(list);
	}

相关的前台代码demo见https://download.csdn.net/download/wangchsh2008/11187155