此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Framework 6.2.6！

CORS

请参阅 Servlet 堆栈中的等效项

Spring WebFlux 允许您处理 CORS（跨域资源共享）。本节 介绍如何执行此作。

介绍

请参阅 Servlet 堆栈中的等效项

出于安全原因，浏览器禁止对当前源之外的资源进行 AJAX 调用。 例如，您可以将银行账户放在一个选项卡中，而 evil.com 放在另一个选项卡中。脚本 evil.com 中，应该无法使用 凭证 — 例如，从您的账户取款！

跨域资源共享 （CORS） 是大多数浏览器实现的 W3C 规范，允许您指定 授权什么样的跨域请求，而不是使用安全性较低且较少 基于 IFRAME 或 JSONP 的强大解决方法。

加工

请参阅 Servlet 堆栈中的等效项

CORS 规范区分了印前检查请求、简单请求和实际请求。 要了解 CORS 的工作原理，您可以阅读这篇文章，其中 许多其他方法，或者参见 规范 了解更多详情。

Spring WebFluxHandlerMappingimplementations 提供对 CORS 的内置支持。成功后 将请求映射到处理程序，则HandlerMapping检查 CORS 配置的 given request 和 handler 并采取进一步的作。处理印前检查请求 直接，而简单和实际的 CORS 请求被拦截、验证，并具有 所需的 CORS 响应标头集。

为了启用跨域请求（即Originheader 存在且 与请求的主机不同），您需要有一些显式声明的 CORS 配置。如果未找到匹配的 CORS 配置，则印前 Backup 请求为 拒绝。没有 CORS 标头添加到简单和实际 CORS 请求的响应中 因此，浏览器会拒绝它们。

每HandlerMapping可以使用基于 URL 模式的 URL 进行单独配置CorsConfiguration映射。在大多数情况下，应用程序 使用 WebFlux Java 配置来声明此类映射，这将产生单个 传递给所有HandlerMapping实现。

您可以在HandlerMappingLevel with More （更多级别） 精细的处理程序级 CORS 配置。例如，带注解的控制器可以使用 类级或方法级@CrossOrigin注解（其他处理程序可以实现CorsConfigurationSource).

组合全局配置和本地配置的规则通常是累加的 — 例如， 所有全球和所有本地源。对于只能使用单个值 accepted，例如allowCredentials和maxAge，则 local 将覆盖 global 值。看CorsConfiguration#combine(CorsConfiguration)了解更多详情。

要从源中了解更多信息或进行高级自定义，请参阅：

凭证请求

请参阅 Servlet 堆栈中的等效项

将 CORS 与凭证请求一起使用需要启用allowedCredentials.请注意， 此选项与配置的域建立高级别的信任，并且还会增加 通过公开敏感的用户特定信息，Web 应用程序的攻击面 例如 Cookie 和 CSRF 令牌。

启用凭证还会影响已配置 CORS 通配符的处理方式："*"

  • 通配符在 中未获得授权allowOrigins，但也可以 这allowOriginPatterns属性可用于匹配一组动态的源。

  • 当设置为allowedHeaders或allowedMethods这Access-Control-Allow-Headers和Access-Control-Allow-Methods响应标头的处理方法是将相关的 标头和方法。

  • 当设置为exposedHeaders,Access-Control-Expose-Headers响应标头 添加到配置的标头列表或通配符。虽然 CORS 规范 不允许使用通配符Access-Control-Allow-Credentials设置为true，则大多数浏览器都支持它，并且响应标头在 CORS 处理，因此通配符是 指定，而不管allowCredentials财产。

虽然这种通配符配置可能很方便，但建议在可能的情况下配置 一组有限的值，以提供更高级的安全性。

@CrossOrigin

请参阅 Servlet 堆栈中的等效项

这@CrossOriginannotation 支持对带注解的控制器方法进行跨域请求，因为 以下示例显示：

@RestController
@RequestMapping("/account")
public class AccountController {

	@CrossOrigin
	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}

默认情况下，@CrossOrigin允许：

allowCredentials默认情况下不启用，因为这会建立信任级别 公开敏感的用户特定信息（例如 cookie 和 CSRF 令牌）和 应仅在适当的情况下使用。启用时allowOrigins必须是 设置为一个或多个特定域（但不是 Special Value ）或 这"*"allowOriginPatterns属性可用于匹配一组动态的源。

maxAge设置为 30 分钟。

@CrossOrigin在类级别也受支持，并且被所有方法继承。 以下示例指定某个域，并将maxAge到一小时：

@CrossOrigin(origins = "https://domain2.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}

您可以使用@CrossOrigin在类和方法级别， 如下例所示：

@CrossOrigin(maxAge = 3600) (1)
@RestController
@RequestMapping("/account")
public class AccountController {

	@CrossOrigin("https://domain2.com") (2)
	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}
1 用@CrossOrigin在类级别。
2 用@CrossOrigin在方法级别。

全局配置

请参阅 Servlet 堆栈中的等效项

除了细粒度的 controller 方法级配置之外，您可能还希望 也定义一些全局 CORS 配置。您可以设置基于 URLCorsConfiguration映射HandlerMapping.但是，大多数应用程序都使用 WebFlux Java 配置来执行此作。

默认情况下，全局配置会启用以下内容：

allowedCredentials默认情况下不启用，因为这会建立信任级别 公开敏感的用户特定信息（例如 cookie 和 CSRF 令牌）和 应仅在适当的情况下使用。启用时allowOrigins必须是 设置为一个或多个特定域（但不是 Special Value ）或 这"*"allowOriginPatterns属性可用于匹配一组动态的源。

maxAge设置为 30 分钟。

要在 WebFlux Java 配置中启用 CORS，您可以使用CorsRegistry回调 如下例所示：

@Configuration
@EnableWebFlux
public class WebConfig implements WebFluxConfigurer {

	@Override
	public void addCorsMappings(CorsRegistry registry) {

		registry.addMapping("/api/**")
			.allowedOrigins("https://domain2.com")
			.allowedMethods("PUT", "DELETE")
			.allowedHeaders("header1", "header2", "header3")
			.exposedHeaders("header1", "header2")
			.allowCredentials(true).maxAge(3600);

		// Add more mappings...
	}
}

CORSWebFilter

请参阅 Servlet 堆栈中的等效项

您可以通过内置的CorsWebFilter，它是一个 与功能端点拟合良好。

如果您尝试使用CorsFilter使用 Spring Security，请记住 Spring Security 内置了对 CORS 的。

要配置过滤器，您可以声明CorsWebFilterbean 并传递一个CorsConfigurationSource添加到其构造函数中，如下例所示：

@Bean
CorsWebFilter corsFilter() {

	CorsConfiguration config = new CorsConfiguration();

	// Possibly...
	// config.applyPermitDefaultValues()

	config.setAllowCredentials(true);
	config.addAllowedOrigin("https://domain1.com");
	config.addAllowedHeader("*");
	config.addAllowedMethod("*");

	UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
	source.registerCorsConfiguration("/**", config);

	return new CorsWebFilter(source);
}

APP信息