跨域资源共享（cors）问题(前端服务器是东方通)

最新推荐文章于 2025-12-01 17:07:41 发布

原创最新推荐文章于 2025-12-01 17:07:41 发布 · 485 阅读

CC 4.0 BY-SA版权

文章标签：

跨域资源共享（cors）可以放宽浏览器的同源策略，可以用过浏览器让不同的网站和不同的服务器之间项目通信。当服务器开启CORS功能时，如果响应包返回的报文头Access-Control-Allow-Credentials为true时，攻击者可利用改配置缺陷创建一个特殊脚本去发送cors请求，从而窃取用户的敏感数据。

风险分析：配置请求包内origin为其他域，仍然可正常读取数据，

修复方案：1、如无跨域请求尽量避免开启CORS功能；2、定义CROS源的白名单，仅允许可信源的跨域请求；3、Access-Control-Allow-Credentials标头设置为true时，允许跨域请求中带有凭证数据，非必要情况下建议把值设置成false；4、避免配置“ACCESS-Control-Allow-Origin”为通配符“*”；5、严格校验来自请求数据包中的“Origin”的值

处理方案：

1、后端处理：

@Configuration
@SuppressWarninsg("rawtypes)
public class CorsConfig {
    //http://10.153.247.227
    @Value("${allowedOrigins1}")
    private String allowedOrigins;
    @bean
    public FIlterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration()
        config.setAllowCredentials(true);
        //添加前端lb白名单
        config.addAllowedOrigin(allowedOrigins);
        //单点登录白名单
        config.addAllowedOrigin("null");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        //设置时间有效
        config.setMaxAge(3600L);
        source.registerCorsConfiguration("/**", config);
        FilterRegistrationBean<Filter> bean = new FilterRegistrationBean<>(new CorsFilter(source));
        bean.setOrder(0);
        return bean;

    }
}

2、前端处理

在东方通ths中配置<proxy balancer://tongSSLCluster>

<Proxy balancer://tongSSLCluster>
BalancerMember Http://XX.XXX.XXX.XX:8080/project loadfactor=1.0 lbset=1.0 hcmethod=TCP hcinterval=30 route=server1
</Proxy>