跨平台的访问控制允许来源错误

Question

您好，我正在尝试发布一些有关跨域 ajax 调用的信息。不幸的是，我遇到了错误。

XMLHttpRequest 无法加载 http://prodservices.apps.h2radio.com:8080/util-services/contributor/feedback。请求的资源上不存在“Access-Control-Allow-Origin”标头。 Origin 'http://rivetnewsradio.com' 因此不允许访问

我已经搜索过上面的错误，并在过滤器中集成了下面的代码。

    HttpServletResponse response = (HttpServletResponse) res;
    response.setHeader("Access-Control-Allow-Origin", "*");
    response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE");
    response.setHeader("Access-Control-Max-Age", "3600");
    //response.setHeader("Access-Control-Allow-Headers", "x-requested-with");
    response.setHeader("Access-Control-Allow-Headers", "origin, content-type, accept, x-requested-with, my-cool-header");
    response.setHeader("Access-Control-Allow-Credentials", "true");
     chain.doFilter(req, res);

即使我遇到同样的错误，我也不知道如何解决它。谁能给我上车的诀窍。

Answer 1

当Access-Control-Allow-Credentials 设置为true 时，* 将不能作为Access-Control-Allow-Origin 工作。因此，请尝试指定确切的基本 URL，例如http://localhost:9000.

您可以使用属性，而不是硬编码 URL。如果多个站点可以访问您的服务器，那么一种常见的做法是动态获取站点的基本 URL 并根据 whilelist 检查它。我有这样的：

String origin = request.getHeader("Origin");

response.setHeader("Access-Control-Allow-Origin",
ArrayUtils.contains(properties.getAllowedOrigins(), origin) ?
    origin : properties.getDefaultApplicationUrl()); 

这不是一个好的做法，但如果您必须允许所有 URL，只需将 * 替换为 request.getHeader("Origin")。