CORS：响应中缺少授权标头（jQuery / Spring）

Question

我有一个在 localhost:8080 上运行的 Spring-Boot Web-Server 和一个在 localhost:80 上带有一些“静态”html/js 的 Apache HTTP-Server。我用 JWT-Authorization 实现了一个 RESTful-API。

如果我确实在与 REST-API 相同的服务器上提供静态 html/js，当我请求 /login-Endpoint 时，我成功地将 JWT-Token 检索为“Authorization”-Header。

但是当我做同样的事情时，在我的 Apache 服务器上提供静态源时，Authorization-Header 丢失了。我的 Javascript：

 $.ajax({
            type: "POST",
            url: "http://localhost:8080/login",
            data: JSON.stringify(data),
            contentType: "application/json",
            dataType: "json",
            success: function (data) {
                alert(data);
            },
            failure: function (errMsg) {
                alert(errMsg);
            },
            complete: function (resp) {
                console.log(resp.getAllResponseHeaders());
                console.log(resp.getResponseHeader("authorization"));
            }
        });

console.log(resp.getAllResponseHeaders())：

pragma: no-cache cache-control: no-cache, no-store, max-age=0, must-revalidate expires: 0

console.log(resp.getResponseHeader("authorization"))：

null

我已经做了很多研究，我认为原因是 CORS 配置错误。

我的 WebSecurity-Class 看起来像这样 - 尽可能多地允许（出于测试目的）：

@EnableWebSecurity public class WebSecurity extends WebSecurityConfigurerAdapter {

@Autowired
private PasswordEncoder passwordEncoder;

@Autowired
private UserDetailsServiceImpl userDetailsService;

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors().and().csrf().disable().authorizeRequests()
            .antMatchers(HttpMethod.POST, SecurityConstants.SIGN_UP_URL).permitAll().anyRequest().authenticated().and()
            .addFilter(new JWTAuthenticationFilter(authenticationManager()))
            .addFilter(new JWTAuthorizationFilter(authenticationManager()))
            // this disables session creation on Spring Security
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
}

@Override
public void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder);
}

 @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("*"));
        configuration.setAllowedMethods(Arrays.asList("*"));
        configuration.setAllowedHeaders(Arrays.asList("*"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }}

还有什么建议吗？

（我调试了我的 Java-Code 并且 JWT-Token 成功添加到响应中 - 但我的 js 没有收到它..）

Answer 1

您的 CORS 配置对我来说似乎不正确。

您可以在 Spring 中配置多个级别的 CORS

全局 CORS 配置

为整个应用启用 CORS 非常简单：

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**");
    }
}

如果你使用的是 Spring Boot，建议只声明一个 WebMvcConfigurer bean

@Configuration
public class MyConfiguration {

    @Bean
    public WebMvcConfigurer corsConfigurer() {
        return new WebMvcConfigurerAdapter() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/**");
            }
        };
    }
}

方法级别

@RestController
@RequestMapping("/account")
public class AccountController {

    @CrossOrigin
    @GetMapping("/{id}")
    public Account retrieve(@PathVariable Long id) {
        // ...
    }

    @DeleteMapping("/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

班级等级

@CrossOrigin
@RestController
@RequestMapping("/account")
public class AccountController {

    @GetMapping("/{id}")
    public Account retrieve(@PathVariable Long id) {
        // ...
    }

    @DeleteMapping("/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

更多详情here

编辑 1

如果你使用的是 Spring Security，你可以这样配置

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // by default uses a Bean by the name of corsConfigurationSource
            .cors().and()
            ...
    }

    @Bean
    CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
        configuration.setAllowedMethods(Arrays.asList("GET","POST"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

更多详情here