问题场景：
在spring securit配置类中配置了authenticationEntryPoint()当用户尝试访问安全的REST资源而不提供任何凭据时，将调用此方法发送401 响应，然后使用postmam或者swagger都能正常看见正确的响应信息，在网页中却出现了跨域问题
/**
* permitAll，会给没有登录的用户适配一个AnonymousAuthenticationToken，设置到SecurityContextHolder，方便后面的filter可以统一处理authentication
* Spring Security相关的配置
* 生命周期：在spring容器启动时加载
*
* @param httpSecurity
* @throws Exception
*/
@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
// 搜寻匿名标记 url： @AnonymousAccess 筛选出HandlerMapping中url映射方法带自定义注解 @AnonymousAccess 的url，进行过滤
Map<RequestMappingInfo, HandlerMethod> handlerMethodMap = SpringContextHolder.getBean(RequestMappingHandlerMapping.class).getHandlerMethods();
for (Map.Entry<RequestMappingInfo, HandlerMethod> infoEntry : handlerMethodMap.entrySet()) {
HandlerMethod handlerMethod = infoEntry.getValue();
if (null != handlerMethod.getMethodAnnotation(AnonymousAccess.class)) {
httpSecurity.
authorizeRequests()
// 自定义匿名访问所有url放行 ： 允许匿名和带权限以及登录用户访问
.antMatchers(
HttpMethod.resolve(infoEntry.getKey().getMethodsCondition().getMethods().iterator().next().name()),
infoEntry.getKey().getPatternsCondition().getPatterns().toArray(new String[0])[0])
.permitAll();
}
}
httpSecurity
// 禁用 CSRF
.csrf().disable()
// 授权异常
.exceptionHandling()
.authenticationEntryPoint((httpServletRequest, httpServletResponse, e) -> {
// 当用户尝试访问安全的REST资源而不提供任何凭据时，将调用此方法发送401 响应
httpServletResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED, e == null ? "Unauthorized" : e.getMessage());
})
.accessDeniedHandler((httpServletRequest, httpServletResponse, e) -> {
//当用户在没有授权的情况下访问受保护的REST资源时，将调用此方法发送403 Forbidden响应
httpServletResponse.sendError(HttpServletResponse.SC_FORBIDDEN, e.getMessage());
})
// 防止iframe 造成跨域
.and()
.headers()
.frameOptions()
.disable()
// 不创建会话
.and()
.sessionManagement()
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
//放行请求和添加过滤器
.and()
.authorizeRequests()
// 所有请求都需要认证
.anyRequest().authenticated()
.and().apply(new SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity>() {
@Override
public void configure(HttpSecurity http) {
http.addFilterBefore(new JwtTokenFilter(), UsernamePasswordAuthenticationFilter.class);
}
}
);
尽管我已经配置了统一的跨域配置
/**
* CROS跨域请求处理方式
*
* @return
*/
@Bean
public CorsFilter corsFilter() {
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
CorsConfiguration config = new CorsConfiguration();
// 允许cookies跨域
config.setAllowCredentials(true);
// #允许向该服务器提交请求的URI，*表示全部允许，在SpringMVC中，如果设成*，会自动转成当前请求头中的Origin
config.addAllowedOriginPattern("*");
// #允许访问的头信息,*表示全部
config.addAllowedHeader("*");
// 预检请求的缓存时间（秒），即在这个时间段里，对于相同的跨域请求不会再预检了
config.setMaxAge(18000L);
// 允许提交请求的方法类型，*表示全部允许
config.addAllowedMethod("OPTIONS");
config.addAllowedMethod("HEAD");
config.addAllowedMethod("GET");
config.addAllowedMethod("PUT");
config.addAllowedMethod("POST");
config.addAllowedMethod("DELETE");
config.addAllowedMethod("PATCH");
source.registerCorsConfiguration("/**", config);
return new CorsFilter(source);
}
前端处理响应时却出现跨域问题
Access to XMLHttpRequest at 'http://localhost:8081/user/detailInfo' from origin 'http://localhost:4200' has been blocked by CORS policy: No 'Access-Control-Allow-Origin' header is present on the requested resource.
思考：
首先回想跨域问题，其实我已经设置跨域的配置，并且对于一般的请求，我已经在Spring security 中进行处理不去对它进行处理（这块也需要注意，是否进行了配置），此时我的CORS 配置还没有生效，所以和 spring security 中使用的跨域需要设置新的变化，Spring Security 其实也是filter 链，那就牵扯到 顺序的问题
解决
/**
* CROS跨域请求处理方式
*
* @return
*/
@Bean
public FilterRegistrationBean corsFilter() {
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
CorsConfiguration config = new CorsConfiguration();
// 允许cookies跨域
config.setAllowCredentials(true);
// #允许向该服务器提交请求的URI，*表示全部允许，在SpringMVC中，如果设成*，会自动转成当前请求头中的Origin
config.addAllowedOriginPattern("*");
// #允许访问的头信息,*表示全部
config.addAllowedHeader("*");
// 预检请求的缓存时间（秒），即在这个时间段里，对于相同的跨域请求不会再预检了
config.setMaxAge(18000L);
// 允许提交请求的方法类型，*表示全部允许
config.addAllowedMethod("OPTIONS");
config.addAllowedMethod("HEAD");
config.addAllowedMethod("GET");
config.addAllowedMethod("PUT");
config.addAllowedMethod("POST");
config.addAllowedMethod("DELETE");
config.addAllowedMethod("PATCH");
source.registerCorsConfiguration("/**", config);
FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(new CorsFilter(source));
// 代表这个过滤器在众多过滤器中级别最高，也就是过滤的时候最先执行
filterRegistrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
return filterRegistrationBean;
}
在跨域配置中把跨域配置设置为最高级别，也就是最早执行的，就可以避免部分请求被框架拦截而没有经过跨域配置过滤器，关键代码filterRegistrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE);
