一、引言
在Web开发中，跨域问题是一个常见的挑战，它源于浏览器的同源策略（Same-Origin Policy）。同源策略要求网页的协议、域名和端口必须完全相同，否则浏览器会阻止跨域请求，以防止恶意脚本对不同源的数据进行非法访问。然而，在实际应用中，前后端分离架构、微服务架构等场景下，跨域请求是不可避免的。Java作为后端开发的主流语言之一，提供了多种方式来设置Access-Control-Allow-Origin响应头，从而实现跨域访问。本文ZHANID工具网将详细介绍Java中设置Access-Control-Allow-Origin实现跨域访问的方法。
二、跨域问题的产生与原理
（一）跨域问题的产生
当浏览器向一个不同源的服务器发起请求时，浏览器会先发送一个预检请求（OPTIONS请求），询问服务器是否允许跨域访问。如果服务器没有正确设置Access-Control-Allow-Origin等响应头，浏览器会阻止后续的跨域请求，导致跨域问题。
（二）同源策略的原理
同源策略是浏览器的一项基本安全策略，它限制了来自不同源的文档或脚本如何与当前源的资源进行交互。同源指的是协议、域名和端口完全相同。例如，http://www.example.com和https://www.example.com是不同源的，因为协议不同；http://www.example.com和http://sub.example.com也是不同源的，因为域名不同；http://www.example.com:8080和http://www.example.com:80也是不同源的，因为端口不同。
三、Java中设置Access-Control-Allow-Origin的方法
（一）使用Servlet过滤器（Filter）
Servlet过滤器是Java Web开发中常用的组件，它可以拦截请求和响应，对请求和响应进行处理。通过实现javax.servlet.Filter接口，并在doFilter方法中设置Access-Control-Allow-Origin响应头，可以实现跨域访问。
示例代码
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.Arrays;
import java.util.HashSet;
import java.util.Set;
public class CorsFilter implements Filter {
private Set<String> allowedOrigins = new HashSet<>(Arrays.asList(
"http://www.example.com",
"http://localhost:8080"
));
@Override
public void init(FilterConfig filterConfig) throws ServletException {
// 初始化操作
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
String originHeader = req.getHeader("Origin");
if (allowedOrigins.contains(originHeader)) {
res.setHeader("Access-Control-Allow-Origin", originHeader);
res.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
res.setHeader("Access-Control-Max-Age", "3600");
res.setHeader("Access-Control-Allow-Headers", "Content-Type, Access-Token");
res.setHeader("Access-Control-Allow-Credentials", "true");
}
chain.doFilter(req, res);
}
@Override
public void destroy() {
// 销毁操作
}
}代码说明
定义允许的域名：在
allowedOrigins集合中定义允许跨域访问的域名。获取请求头中的Origin：通过
req.getHeader("Origin")获取请求头中的Origin值。判断域名是否允许：检查请求的域名是否在允许的域名集合中。
设置响应头：如果域名允许，设置
Access-Control-Allow-Origin等响应头。
（二）使用Spring框架的@CrossOrigin注解
Spring框架提供了@CrossOrigin注解，可以方便地在控制器方法或类上设置跨域访问权限。
示例代码
import org.springframework.web.bind.annotation.*;
@RestController
@RequestMapping("/api")
@CrossOrigin(origins = {"http://www.example.com", "http://localhost:8080"})
public class MyController {
@GetMapping("/data")
public String getData() {
return "Hello, World!";
}
@PostMapping("/save")
public String saveData(@RequestBody String data) {
return "Data saved: " + data;
}
}代码说明
在类上使用@CrossOrigin注解：在控制器类上使用
@CrossOrigin注解，设置允许跨域访问的域名。在方法上使用@CrossOrigin注解：也可以在具体的方法上使用
@CrossOrigin注解，覆盖类上的设置。
（三）实现WebMvcConfigurer接口
在Spring Boot中，可以通过实现WebMvcConfigurer接口，并重写addCorsMappings方法，来全局配置跨域访问。
示例代码
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class WebConfig implements WebMvcConfigurer {
@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/**")
.allowedOrigins("http://www.example.com", "http://localhost:8080")
.allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
.allowedHeaders("*")
.allowCredentials(true)
.maxAge(3600);
}
}代码说明
实现WebMvcConfigurer接口：创建一个配置类，实现
WebMvcConfigurer接口。重写addCorsMappings方法：在
addCorsMappings方法中，使用CorsRegistry对象配置跨域访问规则。配置映射路径：使用
addMapping方法配置需要跨域访问的路径。配置允许的域名：使用
allowedOrigins方法配置允许跨域访问的域名。配置允许的方法：使用
allowedMethods方法配置允许的HTTP方法。配置允许的头部：使用
allowedHeaders方法配置允许的请求头部。配置是否允许携带Cookie：使用
allowCredentials方法配置是否允许携带Cookie。配置预检请求的有效期：使用
maxAge方法配置预检请求的有效期。
（四）使用Spring Security配置跨域
如果项目中使用了Spring Security，可以在Spring Security的配置类中配置跨域访问。
示例代码
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import java.util.Arrays;
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.cors().and().csrf().disable()
.authorizeRequests()
.antMatchers("/api/**").permitAll()
.anyRequest().authenticated();
}
@Bean
CorsConfigurationSource corsConfigurationSource() {
CorsConfiguration configuration = new CorsConfiguration();
configuration.setAllowedOrigins(Arrays.asList("http://www.example.com", "http://localhost:8080"));
configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
configuration.setAllowedHeaders(Arrays.asList("*"));
configuration.setAllowCredentials(true);
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
}代码说明
配置HttpSecurity：在
configure方法中，使用http.cors().and()启用CORS配置，并配置其他安全规则。创建CorsConfigurationSource Bean：创建一个
CorsConfigurationSourceBean，配置CORS规则。设置允许的域名：使用
setAllowedOrigins方法配置允许跨域访问的域名。设置允许的方法：使用
setAllowedMethods方法配置允许的HTTP方法。设置允许的头部：使用
setAllowedHeaders方法配置允许的请求头部。设置是否允许携带Cookie：使用
setAllowCredentials方法配置是否允许携带Cookie。注册CORS配置：使用
registerCorsConfiguration方法注册CORS配置。
四、Access-Control-Allow-Origin的设置选项
（一）允许所有域名
response.setHeader("Access-Control-Allow-Origin", "*");
使用通配符*表示允许所有域名跨域访问。这种方式简单，但不够安全，因为它允许任何来源的请求。此外，如果需要携带Cookie信息，不能使用通配符，必须指定具体的域名。
（二）允许特定域名
response.setHeader("Access-Control-Allow-Origin", "http://www.example.com");指定具体的域名，只有来自该域名的请求才能跨域访问。这种方式更安全，但需要提前知道允许的域名。
（三）允许多个域名
可以通过在过滤器或配置类中动态判断请求的域名，并设置相应的Access-Control-Allow-Origin响应头。例如，在过滤器中，可以获取请求头中的Origin值，判断该域名是否在允许的域名集合中，如果是，则设置Access-Control-Allow-Origin为该域名。
五、其他相关响应头的设置
（一）Access-Control-Allow-Methods
response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");该响应头用于指定允许的HTTP方法，如GET、POST、PUT、DELETE、OPTIONS等。
（二）Access-Control-Max-Age
response.setHeader("Access-Control-Max-Age", "3600");该响应头用于指定预检请求的结果有效期，单位为秒。在有效期内，浏览器不会再次发送预检请求。
（三）Access-Control-Allow-Headers
response.setHeader("Access-Control-Allow-Headers", "Content-Type, Access-Token");
该响应头用于指定允许的请求头部，如Content-Type、Access-Token等。
（四）Access-Control-Allow-Credentials
response.setHeader("Access-Control-Allow-Credentials", "true");
该响应头用于指定是否允许携带Cookie信息。如果设置为true，则允许携带Cookie；如果设置为false，则不允许携带Cookie。需要注意的是，如果设置为true，Access-Control-Allow-Origin不能使用通配符*，必须指定具体的域名。
（五）Access-Control-Expose-Headers
response.setHeader("Access-Control-Expose-Headers", "X-Custom-Header");
该响应头用于指定允许暴露给客户端的响应头部。默认情况下，浏览器只能访问一些基本的响应头部，如Cache-Control、Content-Language、Content-Type、Expires、Last-Modified、Pragma。如果需要暴露其他响应头部，可以使用该响应头进行配置。
六、注意事项
（一）安全性考虑
在设置Access-Control-Allow-Origin时，应尽量限制允许的域名，避免使用通配符*，以提高系统的安全性。如果需要携带Cookie信息，必须指定具体的域名，不能使用通配符。
（二）性能考虑
预检请求会增加额外的网络开销，因此应合理设置Access-Control-Max-Age响应头，减少预检请求的频率。
（三）兼容性考虑
不同的浏览器对CORS的支持程度可能不同，在进行跨域开发时，应进行充分的测试，确保在各种浏览器中都能正常工作。
（四）与前端配合
跨域问题的解决需要前后端配合。前端在发起跨域请求时，应遵循CORS规范，正确处理预检请求和响应。
七、总结
在Java Web开发中，跨域问题是一个常见的挑战。通过设置Access-Control-Allow-Origin响应头，可以实现跨域访问。本文介绍了使用Servlet过滤器、Spring框架的@CrossOrigin注解、实现WebMvcConfigurer接口以及使用Spring Security配置跨域等多种方法，并详细说明了Access-Control-Allow-Origin的设置选项和其他相关响应头的设置。在实际应用中，应根据项目的具体需求和安全要求，选择合适的跨域解决方案，并注意安全性、性能和兼容性等方面的问题。通过合理地处理跨域问题，可以提高系统的开发效率和用户体验。
本文由@战地网 原创发布。
该文章观点仅代表作者本人，不代表本站立场。本站不承担相关法律责任。
如若转载，请注明出处：https://www.zhanid.com/biancheng/4820.html
