跨源资源共享 (CORS)

QWen Max 中英对照 CORS

Spring Framework 提供了CORS的一流支持。CORS 必须在 Spring Security 之前处理，因为预检请求将不包含任何 cookie（即 JSESSIONID）。如果请求不包含任何 cookie 并且 Spring Security 优先，则请求将确定用户未通过身份验证（因为请求中没有 cookie）并拒绝它。

确保首先处理CORS的最简单方法是使用CorsWebFilter。用户可以通过提供一个CorsConfigurationSource将CorsWebFilter与Spring Security集成。例如，以下代码将在Spring Security中集成CORS支持：

Java

@Bean
UrlBasedCorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
    configuration.setAllowedMethods(Arrays.asList("GET","POST"));
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

java

Kotlin

@Bean
fun corsConfigurationSource(): UrlBasedCorsConfigurationSource {
    val configuration = CorsConfiguration()
    configuration.allowedOrigins = listOf("https://example.com")
    configuration.allowedMethods = listOf("GET", "POST")
    val source = UrlBasedCorsConfigurationSource()
    source.registerCorsConfiguration("/**", configuration)
    return source
}

kotlin

以下将禁用 Spring Security 中的 CORS 集成：

Java

@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
    http
        // ...
        .cors(cors -> cors.disable());
    return http.build();
}

java

Kotlin

@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
    return http {
        // ...
        cors {
            disable()
        }
    }
}

kotlin