注意：请务必阅读底部的更新。原始答案包括 CORS 过滤器的“惰性”实现
使用 Jersey，要处理 CORS，您只需使用 ContainerResponseFilter。 Jersey 1.x 和 2.x 的 ContainerResponseFilter 有点不同。由于您没有提到您使用的是哪个版本，所以我将两者都发布。确保使用正确的。
球衣 2.x
import java.io.IOException;
import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
@Provider
public class CORSFilter implements ContainerResponseFilter {
@Override
public void filter(ContainerRequestContext request,
ContainerResponseContext response) throws IOException {
response.getHeaders().add("Access-Control-Allow-Origin", "*");
response.getHeaders().add("Access-Control-Allow-Headers",
"CSRF-Token, X-Requested-By, Authorization, Content-Type");
response.getHeaders().add("Access-Control-Allow-Credentials", "true");
response.getHeaders().add("Access-Control-Allow-Methods",
"GET, POST, PUT, DELETE, OPTIONS, HEAD");
}
}
如果您使用包扫描来发现提供程序和资源，@Provider 注释应该为您处理配置。如果没有，那么您将需要使用ResourceConfig 或Application 子类显式注册它。
使用ResourceConfig 显式注册过滤器的示例代码：
final ResourceConfig resourceConfig = new ResourceConfig();
resourceConfig.register(new CORSFilter());
final final URI uri = ...;
final HttpServer httpServer = GrizzlyHttpServerFactory.createHttpServer(uri, resourceConfig);
对于 Jersey 2.x，如果您在注册此过滤器时遇到问题，这里有一些资源可能会有所帮助
球衣 1.x
import com.sun.jersey.spi.container.ContainerRequest;
import com.sun.jersey.spi.container.ContainerResponse;
import com.sun.jersey.spi.container.ContainerResponseFilter;
@Provider
public class CORSFilter implements ContainerResponseFilter {
@Override
public ContainerResponse filter(ContainerRequest request,
ContainerResponse response) {
response.getHttpHeaders().add("Access-Control-Allow-Origin", "*");
response.getHttpHeaders().add("Access-Control-Allow-Headers",
"CSRF-Token, X-Requested-By, Authorization, Content-Type");
response.getHttpHeaders().add("Access-Control-Allow-Credentials", "true");
response.getHttpHeaders().add("Access-Control-Allow-Methods",
"GET, POST, PUT, DELETE, OPTIONS, HEAD");
return response;
}
}
web.xml配置，可以使用
<init-param>
<param-name>com.sun.jersey.spi.container.ContainerResponseFilters</param-name>
<param-value>com.yourpackage.CORSFilter</param-value>
</init-param>
或者ResourceConfig你可以做
resourceConfig.getContainerResponseFilters().add(new CORSFilter());
或者使用@Provider注解进行包扫描。
编辑
请注意，上面的例子可以改进。您将需要更多地了解 CORS 的工作原理。请参阅here。一方面，您将获得所有响应的标题。这可能是不可取的。您可能只需要处理预检（或选项）。如果你想看到一个更好的实现 CORS 过滤器，你可以查看RESTeasy CorsFilter的源代码
更新
所以我决定添加一个更正确的实现。上面的实现是惰性的，并将所有 CORS 标头添加到所有请求中。另一个错误是它只是一个 response 过滤器，因此请求仍在处理中。这意味着当 preflight 请求进来时，也就是一个 OPTIONS 请求，不会有任何 OPTIONS 方法实现，所以我们会得到一个 405 响应，这是不正确的。
这是它应该的工作方式。所以CORS请求有两种类型：简单请求和preflight requests。对于一个简单的请求，浏览器将发送实际请求并添加Origin 请求头。浏览器期望响应具有Access-Control-Allow-Origin 标头，表示允许来自Origin 标头的来源。为了使其被视为“简单请求”，它必须满足以下条件：
-
是以下方法之一：
-
除了浏览器自动设置的headers外，请求可能只包含以下手动设置的headers：
AcceptAccept-LanguageContent-LanguageContent-TypeDPRSave-DataViewport-WidthWidth
-
Content-Type 标头的唯一允许值是：
application/x-www-form-urlencodedmultipart/form-datatext/plain
如果请求不满足所有这三个条件，则会发出预检请求。这是向服务器发出的 OPTIONS 请求，在实际发出的请求之前。它将包含不同的 Access-Control-XX-XX 标头，并且服务器应该使用自己的 CORS 响应标头响应这些标头。以下是匹配的标题：
| REQUEST HEADER |
RESPONSE HEADER |
| Origin |
Access-Control-Allow-Origin |
| Access-Control-Request-Headers |
Access-Control-Allow-Headers |
| Access-Control-Request-Method |
Access-Control-Allow-Methods |
| XHR.withCredentials |
Access-Control-Allow-Credentials |
-
使用Origin 请求标头，值将是源服务器域，响应Access-Control-Allow-Origin 应该是同一地址或* 以指定允许所有源。
-
如果客户端尝试手动设置任何不在上述列表中的标头，则浏览器将设置 Access-Control-Request-Headers 标头，其值是客户端尝试设置的所有标头的列表。服务器应该返回一个 Access-Control-Allow-Headers 响应标头，其值是它允许的标头列表。
-
浏览器也会设置Access-Control-Request-Method请求头，其值为请求的HTTP方法。服务器应使用Access-Control-Allow-Methods 响应标头进行响应，其值是它允许的方法列表。
-
如果客户端使用XHR.withCredentials，则服务器应使用Access-Control-Allow-Credentials 响应标头进行响应，其值为true。 Read more here.
综上所述，这里有一个更好的实现。尽管这比上面的实现更好，它仍然不如我链接到的RESTEasy one，因为这个实现仍然允许所有来源。但是这个过滤器在遵守 CORS 规范方面比上面的过滤器做得更好，上面的过滤器只是将 CORS 响应标头添加到所有请求中。请注意，您可能还需要修改 Access-Control-Allow-Headers 以匹配您的应用程序允许的标头；您可能希望在此示例中从列表中添加或删除一些标题。
@Provider
@PreMatching
public class CorsFilter implements ContainerRequestFilter, ContainerResponseFilter {
/**
* Method for ContainerRequestFilter.
*/
@Override
public void filter(ContainerRequestContext request) throws IOException {
// If it's a preflight request, we abort the request with
// a 200 status, and the CORS headers are added in the
// response filter method below.
if (isPreflightRequest(request)) {
request.abortWith(Response.ok().build());
return;
}
}
/**
* A preflight request is an OPTIONS request
* with an Origin header.
*/
private static boolean isPreflightRequest(ContainerRequestContext request) {
return request.getHeaderString("Origin") != null
&& request.getMethod().equalsIgnoreCase("OPTIONS");
}
/**
* Method for ContainerResponseFilter.
*/
@Override
public void filter(ContainerRequestContext request, ContainerResponseContext response)
throws IOException {
// if there is no Origin header, then it is not a
// cross origin request. We don't do anything.
if (request.getHeaderString("Origin") == null) {
return;
}
// If it is a preflight request, then we add all
// the CORS headers here.
if (isPreflightRequest(request)) {
response.getHeaders().add("Access-Control-Allow-Credentials", "true");
response.getHeaders().add("Access-Control-Allow-Methods",
"GET, POST, PUT, DELETE, OPTIONS, HEAD");
response.getHeaders().add("Access-Control-Allow-Headers",
// Whatever other non-standard/safe headers (see list above)
// you want the client to be able to send to the server,
// put it in this list. And remove the ones you don't want.
"X-Requested-With, Authorization, " +
"Accept-Version, Content-MD5, CSRF-Token, Content-Type");
}
// Cross origin requests can be either simple requests
// or preflight request. We need to add this header
// to both type of requests. Only preflight requests
// need the previously added headers.
response.getHeaders().add("Access-Control-Allow-Origin", "*");
}
}
要了解有关 CORS 的更多信息，我建议阅读 Cross-Origin Resource Sharing (CORS) 上的 MDN 文档