【问题标题】：Origin header value not allowed. Even though URL is allowed不允许使用原始标头值。即使 URL 是允许的
【发布时间】：2016-03-02 20:40:03
【问题描述】：

我在网站上查看了与此类似的其他问题，尽管做了这些解决方案，但我的问题仍然存在。

旁注，我也试过setHeader(clientOrigin)

我正在使用 Spring Boot v1.2.7.RELEASE，而 Spring 控制台告诉我不允许使用 Origin Header Value。我的客户返回 403 禁止。

CorsFilter

package app.config;

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.stereotype.Component;

@Component
public class CorsFilter implements Filter {

    private final Logger log = LoggerFactory.getLogger(CorsFilter.class);

    public CorsFilter() {
        log.info("SimpleCORSFilter init");
    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {

        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        String clientOrigin = request.getHeader("origin");
        response.addHeader("Access-Control-Allow-Origin", clientOrigin);
        response.setHeader("Access-Control-Allow-Methods", "POST, GET,  DELETE, PUT");
        response.setHeader("Access-Control-Allow-Credentials", "true");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Headers", "Accept, Content-Type, Origin, Authorization, X-Auth-Token");
        response.addHeader("Access-Control-Expose-Headers", "X-Auth-Token");

        if (request.getMethod().equals("OPTIONS")) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(request, response);
        }
    }

    @Override
    public void init(FilterConfig filterConfig) {
    }

    @Override
    public void destroy() {
    }

}

请求标头

Accept:*/*
Accept-Encoding:gzip, deflate, sdch
Accept-Language:en-US,en;q=0.8
Connection:keep-alive
Cookie:JSESSIONID=BDD1655C91FD8DD73A8A0B021BFFC0E7
Host:192.168.1.66:8080
Origin:http://192.168.1.66:8105
Referer:http://192.168.1.66:8105/
User-Agent:Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.86 Safari/537.36

响应标头

Access-Control-Allow-Credentials:true
Access-Control-Allow-Headers:Accept, Content-Type, Origin, Authorization, X-Auth-Token
Access-Control-Allow-Methods:POST, GET,  DELETE, PUT
Access-Control-Allow-Origin:http://192.168.1.66:8105
Access-Control-Expose-Headers:X-Auth-Token
Access-Control-Max-Age:3600
Cache-Control:no-store, no-cache, must-revalidate, max-age=0
Content-Length:0
Date:Sat, 28 Nov 2015 23:49:56 GMT
Server:Apache-Coyote/1.1

我试图进行的调用是一个 SocketJS 调用，它是一个 get 调用。正在调用以下脚本。

var socket = new SockJS($scope.siteUrl+'/connect?TOKEN='+$localstorage.get('X-AUTH-TOKEN-TRIVIA'));
    $scope.stompClient = Stomp.over(socket);
    $scope.stompClient.connect({"Authorization":"TOKEN" }, function(frame) {
        console.log('Connected: ' + frame);
        stompClient.subscribe($scope.siteUrl+'/socketupdate', function(greeting){
            $scope.activegame = JSON.parse(greeting.body).content;
        });
    });

如您所见，我将令牌作为查询字符串传递，因为某些奇怪的原因 SocketJS 不允许我通过标头传递 X-AUTH-TOKEN。

但是，我的客户端服务器位于不同的端口上。我正在使用 ionic 构建一个应用程序，它是一个基于角度的框架。

我注意到错误来自我的 WebSocketService

2015-11-29 03:22:32.417  WARN 33932 --- [nio-8080-exec-1] o.s.w.s.s.t.h.DefaultSockJsService       : Origin header value 'http://192.168.1.66:8105' not allowed.

这是否意味着我必须在 WebSocketConfig 中设置一些可以接受的内容？？

【问题讨论】：

是什么告诉你这是一个非法请求（我猜是firefox），请求的方法是什么？顺便说一句，如果您使用最新版本的 spring (4.2)，您只需将 @CrossOrigin 添加到您想要允许的方法中..
我正在使用 Spring Boot v1.2.7.RELEASE 不确定其中包含什么版本的 Spring。 Spring 在服务器的控制台中告诉我这一点，它返回 403 禁止。我也没有看到 @CrossOrigin 的注释
注解要求Boot 1.3或manually将框架版本升级到4.2，1.2 Boot版本默认使用spring 4.1。
我没有用 Spring Boot 测试过这个，但是你可以使用这个库来为 Spring 4.2 之前的版本添加 CORS 支持：github.com/Russell-Allen/CrossOrigin
我明白你在说什么。但据我所知。我认为response.addHeader("Access-Control-Allow-Origin", clientOrigin); 应该达到同样的目标。它几乎可以找到原始网址并授予它访问权限。如果不是这样，那么我不应该允许来自 CORSFilter 的交叉来源吗？我还更新了我的帖子以包含我用来拨打电话的 SOCKJS java 脚本

标签： java spring spring-boot cross-domain

【解决方案1】：

在你的WebsocketConfig.java

@Override
public void registerStompEndpoints(StompEndpointRegistry stompEndpointRegistry) {
    stompEndpointRegistry.addEndpoint("/ws").setAllowedOrigins("*").withSockJS();
}

注意：

.setAllowedOrigins("*")

【讨论】：

当我添加此代码 `stompEndpointRegistry.addEndpoint("/stomp").setAllowedOrigins("*").withSockJS()` 对“/stomp”的任何请求都有效但是“/stomp/info”给出 403，知道吗？
在您的 WebSecurityConfigurer 中，检查您的 antMatcher 是否是这样的："/stomp/**" 而不仅仅是 "/stomp" 以允许任何以 /stomp 开头的 URL 而不仅仅是 "/stomp " 网址

【解决方案2】：

我刚刚发现的东西，我认为它可能会对某人有所帮助。您的网址末尾不能有“/”。

@Override
public void registerStompEndpoints(StompEndpointRegistry registry) {
    registry.addEndpoint("/chat")
            .setAllowedOrigins("https://somewebsite.com/")
            .withSockJS();
}

没用。

@Override
public void registerStompEndpoints(StompEndpointRegistry registry) {
    registry.addEndpoint("/chat")
            .setAllowedOrigins("https://somewebsite.com")
            .withSockJS();
}

工作。

【讨论】：