如何在 Spring 5.3 及更高版本中使用 Stomp 和 SockJS 处理 CORS 起源？

Question

我正在开发一个同时使用 REST 端点和 SockJS websocket 的服务器应用程序。这曾经在 Spring 5.2 及更低版本下运行良好。

但是，从 5.3 版本开始，org.springframework.web.cors.CorsConfiguration 中存在以下方法：

    public void validateAllowCredentials() {
        if (this.allowCredentials == Boolean.TRUE &&
                this.allowedOrigins != null && this.allowedOrigins.contains(ALL)) {

            throw new IllegalArgumentException(
                    "When allowCredentials is true, allowedOrigins cannot contain the special value \"*\"" +
                            "since that cannot be set on the \"Access-Control-Allow-Origin\" response header. " +
                            "To allow credentials to a set of origins, list them explicitly " +
                            "or consider using \"allowedOriginPatterns\" instead.");
        }
    }

到目前为止，我的套接字是这样配置的：

@Configuration
@EnableWebSocketMessageBroker
public class WebSocketConfiguration implements WebSocketMessageBrokerConfigurer {

    @Override
    public void configureMessageBroker(MessageBrokerRegistry config) {
        // prefix for the client to send messages to the server
        config.setApplicationDestinationPrefixes("/app");
        // prefix for the client to receive broadcasted messages from the server
        config.enableSimpleBroker("/topic");
    }

    @Override
    public void registerStompEndpoints(StompEndpointRegistry registry) {
        // defines the url of the socket so the client can connect to it
        registry.addEndpoint("/socketendpoint").setAllowedOrigins("*").withSockJS();
    }
} 

现在我面临一个真正的问题：

• 如果我将setAllowedOrigins("*") 保留在WebSocketConfiguration 中，那么我将面临validateAllowCredentials 中抛出的错误。
• 如果我删除 setAllowedOrigins("*")，那么 SockJS 客户端将收到 Error during WebSocket handshake: Unexpected response code: 403。

我在编译时不知道源域。

我已经尝试了一个 Cors 过滤器和一个 Cors 配置，它们使用典型的“将您在请求中找到的 origin 标头返回为 allow-origin”模式，该模式通常用于规避 allow-origin: "*"，但一些 SockJS 请求没有分配origin 标头...

我该如何解决这个问题？

Answer 1

为了将来参考，随着最新的春季更新，现在有一个方法setAllowedOriginPatterns可以解决这个问题：

 registry.addEndpoint("/socketendpoint").setAllowedOriginPatterns("*").withSockJS();

Answer 2

来自文档

配置允许的 Origin 标头值。这个检查主要是设计的 对于浏览器客户端。没有什么可以阻止其他类型的客户 修改 Origin 标头值。当启用 SockJS 和起源时 受到限制，不允许检查请求的传输类型 origin（基于 iframe 的传输）被禁用。因此，IE 6 当来源受到限制时，不支持到 9。 每个提供 允许的来源必须以“http://”、“https://”或“*”开头（表示 允许所有来源）。 默认情况下，只有相同来源的请求 被允许（空列表）。自从： 4.1.2 另见：RFC 6454: The Web Origin Concept , SockJS support transports by browser

你的代码

registry.addEndpoint("/socketendpoint").setAllowedOrigins("*").setAllowedOrigins().withSockJS();

应该是

 registry.addEndpoint("/socketendpoint").setAllowedOrigins("*").withSockJS();