亲宝软件园·资讯

展开

SpringCloud微服务中跨域配置的方法详解

ldcaws 人气:0

跨域,指的是浏览器不能执行其他网站的脚本。它是由浏览器的同源策略造成的,是浏览器对 javascript 施加的安全限制。

同源策略,指的是协议,域名,端口都要相同,其中有一个不同都会产生跨域。

跨域相关含义:

Java微服务中解决跨域问题主要分为如下情况:

情况1:针对单个服务的跨域问题,增加允许跨域配置类即可。

如,前端vue+业务微服务

情况2:有网关时,网关配置允许跨域,微服务不配置。微服务项目网关服务为Spring Cloud Gateway,则要求所有请求统一走网关,无需给每个微服务都配置跨域,只需要给网关微服务gateway配置跨域即可。

如,前端vue+网关服务gateway+业务微服务

情况3:有网关时,网关配置允许跨域,微服务配置允许跨域。需要在网关的配置里加上重复请求头。配置DedupeResponseHeader=Vary Access-Control-Allow-Origin Access-Control-Allow-Credentials, RETAIN_UNIQUE。此时走不走网关,都没有跨域问题。

如,前端vue+网关服务gateway+业务微服务/认证授权微服务

情况4:网关不配置,微服务配置允许跨域。请求如果走网关,则会存在跨域问题。不走网关,直接访问微服务,没有跨域问题。

情况5:网关不配置,微服务不配置。走不走网关都会存在跨域问题。

情况1

单个springboot微服务的跨域配置如下

若springboot版本为2.4.0以前,则设置请求源为

corsConfiguration.addAllowedOrigin(“*”);

若springboot版本为2.4.0以后,则设置请求源为

corsConfiguration.setAllowedOriginPatterns(Collections.singletonList(“*”));

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        // 跨域配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        //设置跨域的配置信息
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        //1,允许任何来源
        corsConfiguration.setAllowedOriginPatterns(Collections.singletonList("*"));
        //2,允许任何请求头
        corsConfiguration.addAllowedHeader(CorsConfiguration.ALL);
        //3,允许任何方法
        corsConfiguration.addAllowedMethod(CorsConfiguration.ALL);
        //4,允许凭证
        corsConfiguration.setAllowCredentials(true);
        source.registerCorsConfiguration("/**", corsConfiguration);
        return new CorsFilter(source);
    }
}

其中,若在springboot2.3.10版本中使用corsConfiguration.addAllowedOrigin(“*”);是可以解决跨域问题的,若在springboot2.7.0版本中使用,会发现报跨域问题,查看后台日志提示如下异常:

When allowCredentials is true, allowedOrigins cannot contain the special value "*"since that cannot be set on the “Access-Control-Allow-Origin” response header. To allow credentials to a set of origins, list them explicitly or consider using “allowedOriginPatterns” instead.

可见,不能在 corsConfiguration.setAllowCredentials(true)的时候对addAllowedOrigin设置为"*",而要使用 allowedOriginPatterns这个字段来设置origin。

其实,也可以采用重写WebMvcConfigurer的方式或使用注解@CrossOrigin的方式。

情况2

gateway网关服务中跨域配置类如下

若springboot版本为2.4.0以前,则设置请求源为

corsConfiguration.addAllowedOrigin(“*”);

若springboot版本为2.4.0以后,则设置请求源为

corsConfiguration.setAllowedOriginPatterns(Collections.singletonList(“*”));

@Configuration
public class CorsConfig {
    @Bean
    public CorsWebFilter corsFilter() {
        // 跨域配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        //设置跨域的配置信息
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        // 允许所有请求来源进行跨域
        //corsConfiguration.addAllowedOrigin("*");
        // spring boot2.4以后的配置
        corsConfiguration.setAllowedOriginPatterns(Collections.singletonList("*"));
        // 允许所有头进行跨域
        corsConfiguration.addAllowedHeader("*");
        // 允许所有请求方式进行跨域
        corsConfiguration.addAllowedMethod("*");
        // 允许携带cookie进行跨域
        corsConfiguration.setAllowCredentials(true);
        //任意路径都需要跨域配置
        source.registerCorsConfiguration("/**", corsConfiguration);
        return new CorsWebFilter(source);
    }
}

注:需要去掉业务微服务的跨域配置,防止多次跨域配置。

其实,也可以采用在gateway网关服务的application.yml文件中配置的方式,如:

spring:
  cloud:
    gateway:
      # 全局的跨域配置
      globalcors:
        # 解决options请求被拦截问题
        add-to-simple-url-handler-mapping: true
        cors-configurations:
          # 拦截的请求
          '[/**]':
            # 允许跨域的请求
            #allowedOrigins: "*" # spring boot2.4以前的配置
            allowedOriginPatterns: "*" # spring boot2.4以后的配置
            # 允许请求中携带的头信息
            allowedHeaders: "*"
            # 运行跨域的请求方式
            allowedMethods: "*"
            # 是否允许携带cookie
            alloweCredentials: true
            # 跨域检测的有效期,单位s
            maxAge: 36000

不要出现重复解决跨域问题,若之前用过注解@CrossOrigin,然后又添加了过滤器,就会导致重复,仅用过滤器就OK了。

情况3

当gateway网关服务设置了跨域,业务微服务也设置了跨域,则需要在网关的配置里加上重复请求头,如

pring:
  cloud:
    gateway:
      globalcors:
        default-filters:
                - DedupeResponseHeader=Vary Access-Control-Allow-Origin Access-Control-Allow-Headers Access-Control-Allow-Credentials,RETAIN_UNIQUE

当业务微服务集成了security+oauth2,会出现跨域失效的情况,需要在WebSecurityConfig配置类和ResourceServerConfig配置类中开启CORS,如下

	@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .cors()
                .and()
                .csrf().disable();
    }
	@Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .cors()
                .and()
                .csrf().disable();
     }

当gateway网关微服务集成了security+oauth2,又会出现跨域问题,则需要在ResourceServerConfig配置类中加入跨域过滤器,如下

	@Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) throws NoSuchAlgorithmException, IOException, InvalidKeySpecException {
        http.cors().and().csrf().disable();
		http.addFilterBefore(corsWebFiler, SecurityWebFiltersOrder.CORS);
	}

跨域问题:The ‘Access-Control-Allow-Origin’ header contains multiple values “*, *”, but only one is allowed.

分析:通常跨域问题可以在三个地方解决:

以上3种方式,若使用了2种,则会出现双重跨域的问题。那么若是知道那里用了2次跨域配置,选择去掉一个即可;若是2个地方都不想去掉,还可以在网关中通过yml配置来忽略掉双重跨域的问题。

spring:
  main:
    allow-bean-definition-overriding: true
    gateway:
      discovery:  默认为false,设为true便开启通过服务中心的自动根据 serviceId 创建路由的功能。
        locator:  
          enabled: true
          lowerCaseServiceId: true
      #解决跨域问题
      globalcors:
        corsConfigurations:
          '[/**]':
            # 允许携带认证信息
            allow-credentials: true
            # 允许跨域的源(网站域名/ip),设置*为全部
            allowedOrigins: "*"
            # 允许跨域的method, 默认为GET和OPTIONS,设置*为全部
            allowedMethods: "*"
            # 允许跨域请求里的head字段,设置*为全部
            allowedHeaders: "*"
      #解决双重跨域 RETAIN_FIRST RETAIN_LAST RETAIN_UNIQUE
      default-filters:
        - DedupeResponseHeader=Access-Control-Allow-Origin Access-Control-Allow-Credentials Vary, RETAIN_UNIQUE

具体跨域问题还需根据具体情况分析解决。

加载全部内容

相关教程
猜你喜欢
用户评论