моя контактная информация
Почтамезофия@protonmail.com
2024-07-12
한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina
Пожалуйста, обратитесь к следующей статье, чтобы узнать причину: Правильный способ решения междоменных проблем путем разделения внешнего и внутреннего интерфейса sa-token.
https://mp.weixin.qq.com/s/96WbWL28T5_-xzyCfJ7Stg
https://blog.csdn.net/qq_34905631/article/details/140233780?spm=1001.2014.3001.5501
Хотя в этой статье после многих попыток была найдена правильная позиция, основная причина проблемы не была найдена. Затем, после некоторых размышлений и исследований, я задался вопросом, можно ли смоделировать этот междоменный режим локально, и затем я начал его искать. Ван, фронтенд-сотрудник проекта, затем действительно смоделировал локальный междоменный режим. В проекте он разделил предыдущий фронтенд и бэкенд sa-token, чтобы решить правильную ситуацию кроссдомена, и воспроизвел проблему. после комментария к SimpleCORSFilter в статье.
Междоменная конфигурация официального mvc Spring5.2.15.RELEASE выглядит следующим образом:
https://docs.spring.io/spring-framework/docs/5.2.15.RELEASE/spring-framework-reference/web.html#mvc-cors-intro
Следуйте официальному методу, указанному выше, а затем добавьте класс CustomCorsFilter следующим образом:
package xxxx.config;
import org.springframework.core.Ordered;
import org.springframework.core.annotation.Order;
import org.springframework.stereotype.Component;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;
@Component
@Order(Ordered.HIGHEST_PRECEDENCE)
public class CustomCorsFilter extends CorsFilter {
public CustomCorsFilter() {
super(corsConfigurationSource());
}
private static CorsConfigurationSource corsConfigurationSource() {
CorsConfiguration configuration = new CorsConfiguration();
configuration.addAllowedOrigin("*"); // 允许访问的域名，例如 http://localhost:8080
configuration.addAllowedHeader("*"); // 允许所有请求头
configuration.addAllowedMethod("*"); // 允许所有请求方法
configuration.setAllowCredentials(true);
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
}
Конфигурация CustomCorsFilter была проверена как допустимая в проекте, над которым я работал. Однако в недавнем проекте бесполезно использовать эту конфигурацию класса CustomCorsFilter для решения междоменных проблем. Является ли эта конфигурация недействительной? В приведенной выше статье о правильном способе решения междоменных проблем путем разделения клиентской и внутренней части sa-token проверка класса CustomCorsFilter действительно была недействительной. Эта проблема действительно озадачивала, когда я переконфигурировал класс CustomCorsFilter в проекте. , (SimpleCORSFilter необходимо прокомментировать, потому что этот SimpleCORSFilter можно будет использовать после проверки). После локального запуска проекта интерфейс имитирует междоменные запросы, я поставил точку останова в следующем коде класса CorsFilter:
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
FilterChain filterChain) throws ServletException, IOException {
CorsConfiguration corsConfiguration = this.configSource.getCorsConfiguration(request);
boolean isValid = this.processor.processRequest(corsConfiguration, request, response);
//关键就是这里，在这里打上断点
if (!isValid || CorsUtils.isPreFlightRequest(request)) {
return;
}
filterChain.doFilter(request, response);
}
Также поставьте точку останова на метод CorsUtils.isPreFlightRequest:
public static boolean isPreFlightRequest(HttpServletRequest request) {
return (HttpMethod.OPTIONS.matches(request.getMethod()) &&
request.getHeader(HttpHeaders.ORIGIN) != null &&
request.getHeader(HttpHeaders.ACCESS_CONTROL_REQUEST_METHOD) != null);
}
Тогда скриншот точки останова выглядит следующим образом:
Интерфейс входа представляет собой сложный междоменный запрос с http плюс доменным именем, и будет отправлен запрос предварительного обнаружения (запрос OPTIONS).
В проекте, интегрированном с sa-token, я установил точку останова на методе doFilterInternal OncePerRequestFilter и обнаружил следующие фильтры:
Видно, что CustomCorsFilter, который мы настроили выше, выполняется первым, а два фильтра, связанные с sa-token: saPathCheckFilterForServlet и SaServletFilter, выполняются позже, поэтому другие предыдущие предположения были хорошо подтверждены. Точка останова переходит к методу doFilterInternal CorsFilter ниже. :
//关键就是这里，在这里打上断点
if (!isValid || CorsUtils.isPreFlightRequest(request)) {
return;
}
Проблема заключается в следующем коде:
CorsUtils.isPreFlightRequest(request)
Эта строка кода вернула значение true, поэтому она возвратилась. Все последующие фильтры не были выполнены, поэтому запрос не мог достичь интерфейса. Браузер все еще сообщал о междоменных проблемах. Затем я отладил строку кода CorsUtils.isPreFlightRequest(request). , было обнаружено, что после того, как сложный запрос отправил запрос предварительного обнаружения (запрос OPTIONS) по доменам, Origin будет установлен необъяснимым образом:
http://localhost:3000
Это было очень странно, поэтому я попросил своего коллегу по интерфейсу Лао Ванбанга проверить, где установлено это значение, и обнаружил следующее:
Интерфейс не устанавливает Origin, а устанавливает только следующие параметры:
//设置axios跨域访问
axios.defaults.withcredentials = true // 设置cross跨域 并设置访问权限 允许跨域携带cookie信息axios.defaults.crossDomain=true //设置axios跨域的配置
На картинке выше есть только одно значение Referer, которое совпадает со значением Origin. Неужели это просто совпадение, поэтому я прочитал следующую статью:
https://blog.csdn.net/qq_55316925/article/details/128571809
Это дало мне много идей, поэтому я подумал об этом, и оказалось, что CustomCorsFilter, настроенный на бэкэнде, эффективен. Могу ли я изменить исходный код CorsFilter? Итак, я попробовал следующие два метода, которые были проверены мной и мной. для внешнего интерфейса Лао Вана оба метода осуществимы, и любой из них может решить междоменную проблему Cors.
Измените исходный код CorsFilter на серверной стороне.
Добавьте новый пакет org.springframework.web.filter в src.main.java проекта.
Затем скопируйте исходный код CorsFilter и поместите его во вновь созданный пакет org.springframework.web.filter, указанный выше, а затем вы сможете изменить исходный код CorsFilter.
/*
* Copyright 2002-2019 the original author or authors.
*
* Licensed under the Apache License, Version 2.0 (the "License");
* you may not use this file except in compliance with the License.
* You may obtain a copy of the License at
*
* https://www.apache.org/licenses/LICENSE-2.0
*
* Unless required by applicable law or agreed to in writing, software
* distributed under the License is distributed on an "AS IS" BASIS,
* WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
* See the License for the specific language governing permissions and
* limitations under the License.
*/
package org.springframework.web.filter;
import java.io.IOException;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.util.Assert;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.CorsProcessor;
import org.springframework.web.cors.CorsUtils;
import org.springframework.web.cors.DefaultCorsProcessor;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
/**
* {@link javax.servlet.Filter} that handles CORS preflight requests and intercepts
* CORS simple and actual requests thanks to a {@link CorsProcessor} implementation
* ({@link DefaultCorsProcessor} by default) in order to add the relevant CORS
* response headers (like {@code Access-Control-Allow-Origin}) using the provided
* {@link CorsConfigurationSource} (for example an {@link UrlBasedCorsConfigurationSource}
* instance.
*
* <p>This is an alternative to Spring MVC Java config and XML namespace CORS configuration,
* useful for applications depending only on spring-web (not on spring-webmvc) or for
* security constraints requiring CORS checks to be performed at {@link javax.servlet.Filter}
* level.
*
* <p>This filter could be used in conjunction with {@link DelegatingFilterProxy} in order
* to help with its initialization.
*
* @author Sebastien Deleuze
* @since 4.2
* @see <a href="https://www.w3.org/TR/cors/">CORS W3C recommendation</a>
*/
public class CorsFilter extends OncePerRequestFilter {
private final CorsConfigurationSource configSource;
private CorsProcessor processor = new DefaultCorsProcessor();
/**
* Constructor accepting a {@link CorsConfigurationSource} used by the filter
* to find the {@link CorsConfiguration} to use for each incoming request.
* @see UrlBasedCorsConfigurationSource
*/
public CorsFilter(CorsConfigurationSource configSource) {
Assert.notNull(configSource, "CorsConfigurationSource must not be null");
this.configSource = configSource;
}
/**
* Configure a custom {@link CorsProcessor} to use to apply the matched
* {@link CorsConfiguration} for a request.
* <p>By default {@link DefaultCorsProcessor} is used.
*/
public void setCorsProcessor(CorsProcessor processor) {
Assert.notNull(processor, "CorsProcessor must not be null");
this.processor = processor;
}
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
FilterChain filterChain) throws ServletException, IOException {
CorsConfiguration corsConfiguration = this.configSource.getCorsConfiguration(request);
boolean isValid = this.processor.processRequest(corsConfiguration, request, response);
//修改的源码是将CorsUtils.isPreFlightRequest(request)这行代码移除，就是因为复杂请求跨域发了预检测请求，浏览器的referrer-policy引用者策略会携带一个值，后端处理之后会将这个值赋值给请求头的Orgin属性上，移除这行代码之后就可以正常访问到登录接口了，前端也没有报跨域了。
if (!isValid) {
return;
}
filterChain.doFilter(request, response);
}
}
Добавьте следующий код во внешний интерфейс: отключите или удалите политику реферера Referrer-Policy.
https://blog.csdn.net/qq_49810363/article/details/111036180
Новый код выглядит следующим образом:
<meta name="referrer" content="never">
Политика реферальной политики браузера также предназначена для соображений безопасности. Браузер, который я использую, — это браузер Chrome.
После постоянных попыток и нащупывания, проблема междоменного развертывания cors возникла после интеграции sa-token в проект. Вообще говоря, спецификации междоменного протокола cors не позволяют выполнить эту операцию. Библиотека решений -end не допускает операций запроса, которые не соответствуют спецификациям междоменного протокола cors, поэтому вы можете использовать sa-токен для разделения интерфейсных и внутренних решений для правильного положения междоменных решений. Настройте SimpleCORSFilter, напишите определенные параметры и обработайте. Запрос предварительного обнаружения возвращает код состояния 200, или вы можете использовать любой из двух методов, описанных в этой статье, для решения междоменной проблемы cors. Решение в этой статье заключается в следующем. Я отлаживаю его после воспроизведения междоменного запроса в точке останова. Решение: если вы считаете, что можете следовать методу, описанному в этой статье, локально воспроизведите междоменный запрос, а затем выполните отладку точки останова, чтобы проверить, не является ли это проблемой. строка CorsUtils.isPreFlightRequest(request) corsFilter. В общем, это cors. Междоменная проблема — большая проблема для браузеров. Простой запрос к corsFilter не завершится неудачей. Сложный запрос отправляет запрос предварительного обнаружения (запрос OPTIONS). . Поскольку политика реферера URL-адреса браузера будет содержать значение, после внутренней обработки это значение будет присвоено атрибуту Origin заголовка запроса, в результате чего строка кода CorsUtils.isPreFlightRequest(request) corsFilter вернет true. а затем вернуться. В результате doFilter последующей серии фильтров не выполняется, и нет доступа к внутреннему интерфейсу, а страница внешнего браузера по-прежнему сообщает о междоменных проблемах. , эта проблема действительно раздражает. Метод https не работает между доменами, поскольку https прослушивает порт 443 и требует сертификата. Я думаю, для этого требуется настроить сертификат. Эта статья развеивает обвинение в том, что интеграция sa-token приведет к тому, что конфигурация corsFilter станет недействительной. в Интернете то же самое.Ни одна из статей в этой статье не имеет решения этой ситуации.Следует сказать, что это первое.Творчество не из легких.Просим уважать оригинальность автора.Просим не заниматься плагиатом и относиться к этому как к плагиату. оригинал. Пожалуйста, перепечатайте и добавьте первоначальный источник. На этом обмен информацией заканчивается. Надеюсь, мой обмен может вдохновить вас и помочь. Пожалуйста, нажмите три раза, чтобы подключиться.
Он посвятил себя исследованию технологий более тридцати лет, владеющих различными языками, такими как Java, Linux, Javascript, php, css и т. д. д., и вне большой вклад созданную им область открытого исходного кода. станция документации для разработчиков, где можно поделиться различными проблемами разработки технологий для дальнейшего использования.
Почтамезофия@protonmail.com