解决跨域问题的五种方式

如何解决跨域问题

  • JSONP
    原理是: 动态插入script标签,通过script标签引入一个js文件, 这个js文件载入成功后会执行我们在url参数中指定的函数,并且会把我们需要的json数据作为参数传入.

    由于同源策略的限制, XmlHttpRequest只允许请求当前源 ( 域名, 协议, 端口 ) 的资源, 为了实现跨域请求, 可以通过script标签实现跨域请求, 然后在服务端输出JSON数据并执行回调函数, 从而解决了跨域的数据请求.

    优点是兼容性好, 简单易用, 支持浏览器与服务器双向通信, 缺点是只支持GET请求.

    JSONP: json+padding ( 内填充 ), 顾名思义, 就是把JSON填充到一个盒子里.

<script>
    function createJs(sUrl){
        var oScript = document.createElement('script');
        oSccript.type = 'text/javascript';
        oScript.src = sUrl;
        document.getElementByTagName('head')[0].appendChild(oScript);
    }
    createJs('jsonp.js');
    box({
        'name':'test'
    });
    function box(json){
        alert(json.name);
    }
</script>
  • CORS

    服务器对于cors的支持, 主要就是通过设置Access-Control-Allow-Origin来进行的. 如果浏览器检测到相应的设置, 就允许Ajax进行跨域访问.

  • 通过修改document.domain来跨子域
    将子域和主域的document.domain设为同一个主域, 前提条件: 这两个域名必须属于同一个基础域名, 而且所用的协议, 端口都要一致, 否则无法利用document.domain进行跨域
    主域相同的使用document.domain

  • 使用window.name来进行跨域
    window对象有个name属性, 该属性有个特征: 即在一个窗口(window)的生命周期内, 窗口载入的所有页面都是共享一个window.name的, 每个页面对window.name都有读写权限, window.name是持久存在一个窗口载入过的所有页面中的

  • 使用HTML5中新引进的window.postMessage方法来跨域传送数据
    还有flash, 在服务器上设置代理页面等跨域方式. 个人认为window.name的方法既不复杂, 也能兼容到几乎所有浏览器, 这真是极好的一种跨域方法.
### Spring Boot 中解决 CORS 请求的五种方法 #### 方法一:使用 `@CrossOrigin` 注解 在 Controller 类或具体的方法上添加 `@CrossOrigin` 注解,能够快速有效地处理问题。该注解支持设置多个参数,如允许的源地址、HTTP 方法以及自定义头部。 ```java @RestController @RequestMapping("/api") public class MyController { @CrossOrigin(origins = "http://example.com", methods = {RequestMethod.GET, RequestMethod.POST}) @GetMapping("/data") public String getData() { return "Data"; } } ``` 这种方法适用于小型项目中的单个接口或少数几个接口[^1]。 #### 方法二:通过配置类实现全局 CORS 支持 创建一个继承自 `WebMvcConfigurer` 的配置类,并重写其中的相关方法来指定全局范围内的策略。 ```java @Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**").allowedOrigins("*"); } } ``` 这种方式适合于大型项目的统一管理需求[^3]。 #### 方法三:利用 Filter 进行拦截并响应预检请求 编写自定义过滤器,在每次 HTTP 请求到达之前对其进行检查;对于 OPTIONS 预检请求,则返回合适的响应头信息以告知客户端服务器端愿意接受来自任何地方的连接尝试。 ```java @Component public class SimpleCORSFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { response.setHeader("Access-Control-Allow-Origin", "*"); response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS"); response.setHeader("Access-Control-Max-Age", "3600"); response.setHeader("Access-Control-Allow-Headers", "authorization, content-type"); if ("OPTIONS".equalsIgnoreCase(request.getMethod())) { response.setStatus(HttpServletResponse.SC_OK); } else { filterChain.doFilter(req, res); } } } ``` 这种做法灵活性较高,尤其当需要更细粒度地控制哪些路径应该被允许时非常有用。 #### 方法四:基于 Security Config 实现安全上下文下的 CORS 控制 如果应用程序已经集成了 Spring Security 组件,则可以在其基础上进一步增强安全性的同时也完成对 CORS 行为的规定: ```java @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.cors().and() .csrf().disable(); } @Bean CorsConfigurationSource corsConfigurationSource() { final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource(); CorsConfiguration config = new CorsConfiguration(); config.setAllowCredentials(true); // 是否允许发送Cookie凭证信息,默认false config.addAllowedOriginPattern("*"); // 允许所有的名访问 config.setMaxAge(3600L); // 设置缓存时间(秒) config.addAllowedHeader("*"); // 允许所有类型的header字段 config.addAllowedMethod("*"); // 允许所有的Http Method source.registerCorsConfiguration("/**", config); return source; } } ``` 这有助于确保即使启用了严格的认证机制也不会影响到正常的站资源共享操作。 #### 方法五:借助第三方库简化 CORS 处理逻辑 除了上述四种内置方式外,还可以考虑引入专门针对 RESTful API 设计的开源工具包——例如 spring-cloud-starter-gateway 或者 resilience4j-circuitbreaker ——它们往往自带完善的 CORS 解决方案,从而减少开发者自行编码的工作量。 以上就是关于如何在 Spring Boot 应用程序内有效应对 CORS 问题的主要途径概述。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值