[前后端分离]Springboot2.x解决加入shiro拦截器后才出现的Cors跨域问题

使用Shiro认证授权拦截器再次出现Cors跨域问题：重定向错误

——————验证成功——————

一、背景

启用shiro的身份认证之前（其他已开），已经实现前后端分离的数据调用，但当我打开shiro认证拦截器后，出现跨域问题如下：

打开浏览器自带的开发人员工具（Shift+Ctrl+I），发现错误如下

翻译：从“http://本地主机：8080”从‘http://localhost：8081/gas/facility/queryFacilityList’访问XMLHttp请求已被CORS策略阻止：请求的资源上没有“访问-控制-允许起源”标头。
GET，网：ERR_FAILED，
未捕获（承诺）错误：创建时网络错误XMLHttpRequest.handleError时错误

二、原因

后端通过Shiro配置URL过滤时，如

        //设置未授权提示页面
        bean.setUnauthorizedUrl("/gas/myWeishouquan");
        //设置登录错误提示页面
        bean.setLoginUrl("/gas/toLogin");

默认对于没有授权的访问请求会redirect至LoginUrl.但在跨域访问时,redirect失败.原因是基于安全考虑,redirect发生时Response Header的信息会被清除,导致client端的访问被server端拒绝.

三、解决

配置文件强制加上Header的信息，如下

package com.company.gas.config;

import org.apache.shiro.web.servlet.OncePerRequestFilter;
import org.springframework.stereotype.Component;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
//                !!!!!!!!!!!!!!!!!! :此文件是为了解决重定向redirect的问题，如果不用重定向可不配置
@Component
public class CORSFilter extends OncePerRequestFilter {

  /*
   * 在ResponseBodyWrapHandler中已处理跨域问题
   * 但是在shiro验证未通过跳转/unauth时, 因为redirect 重定向会丢失所有请求头，跨域问题重新出现
   * */
  @Override
  protected void doFilterInternal(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws ServletException, IOException {
      HttpServletResponse res = (HttpServletResponse) servletResponse;

      res.setContentType("text/html;charset=UTF-8");

      res.setHeader("Access-Control-Allow-Origin", "*");

      res.setHeader("Access-Control-Allow-Methods", "*");

      res.setHeader("Access-Control-Max-Age", "0");

      res.setHeader("Access-Control-Allow-Headers", "Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With,userId,token");

      res.setHeader("Access-Control-Allow-Credentials", "true");

      res.setHeader("XDomainRequestAllowed","1");

      filterChain.doFilter(servletRequest, servletResponse);

  }
}

重新运行项目，结果如下

另附上我的解决普通跨域的文件

package com.company.gas.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
public class CorsConfig{

    private CorsConfiguration buildConfig() {
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        corsConfiguration.addAllowedOrigin("*");
        corsConfiguration.addAllowedHeader("*");
        corsConfiguration.addAllowedMethod("*");
        corsConfiguration.setMaxAge(3600L);         // 预检请求的有效期，单位为秒。
        corsConfiguration.setAllowCredentials(true);// 是否支持安全证书(必需参数)
        return corsConfiguration;
    }

    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", buildConfig());
        return new CorsFilter(source);
    }
}

上述方法参自一位大牛的文章，耗时两天几乎试遍所有方法中唯一有效的方法
感谢！！！
参考文献