Spring MVC配置CORS

Spring Framework 从4.2开始支持配置CORS。

Spring MVC支持CORS的范围包括：

方法级别配置CORS
全局配置CORS

方法级别配置CORS

使用注解@CrossOrgin可以对@RequestMapping注解的方法设置CORS。

@RestController
@RequestMapping("/users")
public class UserController {

    @CrossOrigin
    @GetMapping("/{id}")
    public User query(@PathVariable Long id) {
        // ...
    }

    @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

@CrossOrigin默认设置的orgins为所有，即Access-Control-Allow-Origin=*，指定的方法为@RequestMapping设置的HTTP方法。

@CrossOrigin支持以下几种配置：

origins：配置请求来源，设置Access-Control-Allow-Origin。星号*表示所有。
allowedHeaders：允许header，设置Access-Control-Allow-Headers。星号表示运行所有的头信息。
exposedHeaders：暴露的头信息，设置Access-Control-Expose-Headers，默认空。
allowCredentials：设置Access-Control-Allow-Credentials，请求是否带cookie信息，默认为允许。
maxAge：设置Access-Control-Max-Age，默认为1800秒，即30分。
methods：请求的HTTP方法，默认为@RequestMapping设置的HTTP方法。

@CrossOrigin也可配置在Controller级别设置，应用于Controller里的所有@RequestMapping的方法

@CrossOrigin(maxAge = 3600)
@RestController
@RequestMapping("/users")
public class UserController {

    @CrossOrigin("http://example.com")
    @GetMapping("/{id}")
    public User query(@PathVariable Long id) {
        // ...
    }

    @RequestMapping(method = RequestMethod.DELETE, path = "/{id}")
    public void remove(@PathVariable Long id) {
        // ...
    }
}

当Controller级别和方法级别同时配置了@CorsOrigin时，它会合并两者的配置。

全局配置CORS

全局配置有两种方式：基于JavaConfig和基于XML。

JavaConfig

JavaConfig使用CorsRegistry对全局配置CORS。

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
            .allowedOrigins("http://domain2.com")
            .allowedMethods("PUT", "DELETE")
            .allowedHeaders("header1", "header2", "header3")
            .exposedHeaders("header1", "header2")
            .allowCredentials(false).maxAge(3600);
    }
}

Spring Boot 配置全局CORS

使用spring-boot可以把@EnableWebMvc去掉。也可以返回一个WebMvcConfigurer

@Configuration
public class MyConfiguration {

    @Bean
    public WebMvcConfigurer corsConfigurer() {
        return new WebMvcConfigurerAdapter() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/api/**")
                  .allowedOrigins("http://domain2.com")
                  .allowedMethods("PUT", "DELETE")
                  .allowedHeaders("header1", "header2", "header3")
                  .exposedHeaders("header1", "header2")
                  .allowCredentials(false).maxAge(3600);
              }
          };
      }
  }

XML

xml使用<mvc:cors></cors>

<mvc:cors>

    <mvc:mapping path="/api/**"
        allowed-origins="http://domain1.com, http://domain2.com"
        allowed-methods="GET, PUT"
        allowed-headers="header1, header2, header3"
        exposed-headers="header1, header2" allow-credentials="false"
        max-age="123" />

    <mvc:mapping path="/resources/**"
        allowed-origins="http://domain1.com" />

</mvc:cors>