如何在Java中实现跨域资源共享：CORS的配置与安全考量

原创

省赚客开发者 2024-09-09 22:58:46 ©著作权

©著作权归作者所有：来自51CTO博客作者省赚客开发者的原创作品，请联系作者获取转载授权，否则将追究法律责任

如何在Java中实现跨域资源共享：CORS的配置与安全考量

大家好，我是微赚淘客返利系统3.0的小编，是个冬天不穿秋裤，天冷也要风度的程序猿！今天我们来聊聊在Java应用中如何实现跨域资源共享（CORS），以及相关的安全考量。CORS（Cross-Origin Resource Sharing）是一种浏览器机制，允许来自不同源的服务器请求访问某个服务器的资源。在现代Web开发中，CORS配置是前后端分离架构中常见的需求之一。

一、CORS简介

CORS是一种HTTP协议，使用特定的HTTP头来允许浏览器控制跨域请求的安全性。通过配置CORS策略，服务器能够明确告知浏览器哪些来源的请求是允许的，以及允许的HTTP方法、请求头和凭据等。

默认情况下，浏览器出于安全考虑，会阻止Web应用程序发起跨域请求。为了解决这一问题，服务器需要正确配置CORS头，允许合法的跨域请求。

二、在Spring Boot中配置CORS

在Spring Boot应用中，CORS可以通过多种方式进行配置，包括全局配置、控制器级别配置以及通过过滤器配置。下面我们来逐一探讨。

1. 全局配置CORS

可以通过WebMvcConfigurer接口进行全局的CORS配置：

package cn.juwatech.corsconfig;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class GlobalCorsConfig {

    @Bean
    public WebMvcConfigurer corsConfigurer() {
        return new WebMvcConfigurer() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/**")
                        .allowedOrigins("https://example.com") // 允许的域名
                        .allowedMethods("GET", "POST", "PUT", "DELETE") // 允许的方法
                        .allowedHeaders("*") // 允许的请求头
                        .allowCredentials(true) // 是否允许发送Cookie
                        .maxAge(3600); // 预检请求的有效期，单位为秒
            }
        };
    }
}

在上述代码中，通过实现WebMvcConfigurer接口的addCorsMappings方法，我们可以为所有的请求路径配置CORS策略。allowedOrigins指定允许的来源，allowedMethods指定允许的HTTP方法，allowedHeaders指定允许的请求头，allowCredentials用于控制是否允许发送凭据（如Cookies）。

2. 控制器级别的CORS配置

如果你只想对某个特定的控制器或方法启用CORS，可以直接在控制器方法上使用@CrossOrigin注解：

package cn.juwatech.corsconfig;

import org.springframework.web.bind.annotation.CrossOrigin;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class UserController {

    @CrossOrigin(origins = "https://example.com", maxAge = 3600)
    @GetMapping("/user")
    public String getUser(@RequestParam String username) {
        return "User: " + username;
    }
}

这种方式更加灵活，可以根据业务需求为特定的接口设置跨域访问策略。

3. 通过过滤器配置CORS

除了上述两种方式，还可以通过自定义过滤器的方式来实现CORS配置：

package cn.juwatech.corsconfig;

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomCorsFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;

        res.setHeader("Access-Control-Allow-Origin", "https://example.com");
        res.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE");
        res.setHeader("Access-Control-Allow-Headers", "Content-Type");
        res.setHeader("Access-Control-Allow-Credentials", "true");

        if ("OPTIONS".equalsIgnoreCase(req.getMethod())) {
            res.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(req, res);
        }
    }

    @Override
    public void destroy() {}
}

在上面的例子中，我们自定义了一个Filter来设置CORS相关的HTTP头。此方法适合需要更复杂的条件逻辑来决定CORS策略的场景。

三、安全考量

正确配置CORS对于保护API免受不当的跨域请求非常重要。以下是一些在配置CORS时需要注意的安全考量：

1. 限制允许的来源

永远不要使用通配符*来允许所有来源，除非这是公开的API且没有任何安全风险。应明确指定允许的来源，特别是在处理敏感数据时。

.allowedOrigins("https://trusted.com"); // 只允许特定的受信任域名

2. 限制允许的方法和头

限制允许的方法和请求头，确保只允许必需的操作，防止不必要的访问。

.allowedMethods("GET", "POST"); // 只允许GET和POST请求
.allowedHeaders("Content-Type", "Authorization"); // 只允许必要的头

3. 控制凭据的传递

当allowCredentials设置为true时，不要使用通配符*作为allowedOrigins的值，这会导致安全漏洞。明确指定可以携带凭据的来源。

4. 设置预检请求的有效期

预检请求是CORS机制的一部分，用于在实际请求之前检查服务器是否允许该操作。通过maxAge设置预检请求的缓存时间，可以减少客户端发送的预检请求次数。

.maxAge(1800); // 设置预检请求缓存30分钟

四、实际应用场景与示例

以下是一个综合应用场景示例，展示了如何在Spring Boot应用中正确配置CORS并考虑安全性：

package cn.juwatech.corsconfig;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@SpringBootApplication
public class CorsApplication {

    public static void main(String[] args) {
        SpringApplication.run(CorsApplication.class, args);
    }

    @Bean
    public WebMvcConfigurer corsConfigurer() {
        return new WebMvcConfigurer() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/**")
                        .allowedOrigins("https://trusted.com")
                        .allowedMethods("GET", "POST")
                        .allowedHeaders("Content-Type", "Authorization")
                        .allowCredentials(true)
                        .maxAge(3600);
            }
        };
    }
}

在这个Spring Boot示例中，我们配置了CORS策略以限制访问来源、允许的方法、请求头和Cookie的传递。同时设置了预检请求的缓存时间，提升了应用性能。

五、总结

在Java应用中正确配置CORS能够确保应用安全且功能正常。我们探讨了在Spring Boot中通过全局配置、控制器级别配置和过滤器配置来实现CORS，同时也详细分析了配置中的安全考量。务必根据应用场景和安全需求进行合理的配置，以防止跨域安全漏洞。

本文著作权归聚娃科技微赚淘客系统开发者团队，转载请注明出处！