Java跨域问题

跨域是指跨域名的访问，以下情况都属于跨域：

跨域原因说明	示例
域名不同	www.output.com与www.chengguoku.com
域名相同，端口不同	www.output.com:8324与www.output.com:8080
二级域名不同	bjfu.output.com与example.output.com

注意：如果域名和端口相同，但是请求路径不同，不属于跨域，如：

http://www.output.com/user

www.output.com/test

（1）为什么会有跨域问题

跨域是指a页面想获取b页面资源，如果a,b页面的协议、域名、端口、子域名不同，或是a页面为ip地址，b页面为域名地址，所进行的访问行动都是跨域的，而浏览器为了安全问题一般都限制了跨域访问，也就是说不允许跨域请求资源。

跨域问题的根本原因：因为浏览器收到同源策略的限制，当前域名的js只能读取同域名下的窗口属性。什么叫做同源策略？就是不同的域名，不同端口，不同协议不允许共享资源的，保障浏览器安全。同源策略是针对浏览器设置的门槛。

只有访问类型为XMLHttpRequest的才会出现跨域。

（2）解决方案

1. 手写过滤器实现，通过过滤器开放需要访问的接口。首先，如何设置一个过滤器：

如何创建一个过滤器：SpringBoot之HandlerInterceptor拦截器的使用详解

1.1自定义拦截器

定义一个类实现org.springframework.web.servlet.HandlerInterceptor接口。

1.2添加Interceptor拦截器到WebMvcConfigurer配置器中

直接实现org.springframework.web.servlet.config.annotation.WebMvcConfigurer接口。

@Configuration
public class WebAppConfigurer implements WebMvcConfigurer {
}

1.3HandlerInterceptor方法介绍

preHandle：预处理，在业务处理器处理请求之前被调用，可以进行登录拦截，编码处理、安全控制、权限校验等处理；

default boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    return true;
}

postHandle：后处理，在业务处理器处理请求执行完成后，生成视图之前被调用。即调用了Service并返回ModelAndView，但未进行页面渲染，可以修改ModelAndView。

default void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
            @Nullable ModelAndView modelAndView) throws Exception {
}

afterCompletion：返回处理，在DispatcherServlet完全处理完请求后被调用，可用于清理资源等。已经渲染了页面。

default void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler,
            @Nullable Exception ex) throws Exception {
}

2.Spring boot 拦截器跨域解决

拦截器类

public class CorsInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        //表示接受任意域名的请求,也可以指定域名
        response.setHeader("Access-Control-Allow-Origin",request.getHeader("origin"));
        //该字段可选，是个布尔值，表示是否可以携带cookie
        response.setHeader("Access-Control-Allow-Credentials", "true");
        response.setHeader("Access-Control-Allow-Methods", "GET, HEAD, POST, PUT,PATCH, DELETE, OPTIONS");
        response.setHeader("Access-Control-Allow-Headers", "*");
        if (HttpMethod.OPTIONS.toString().equals(request.getMethod())){
            return  true;
        }
        return true;
    }
}

在配置类中添加配置

@Autowired
private CorsInterceptor corsInterceptor;
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(corsInterceptor()).addPathPatterns("/**");
}