SpringCloud微服务中跨域配置的方法详解

SpringCloud跨域配置

跨域，指的是浏览器不能执行其他网站的脚本。它是由浏览器的同源策略造成的，是浏览器对 javascript 施加的安全限制。

同源策略，指的是协议，域名，端口都要相同，其中有一个不同都会产生跨域。

跨域相关含义：

• Access-Control-Allow-Origin：服务器允许请求的源；
• Access-Control-Allow-Headers: 服务器允许使用的头；
• Access-Control-Allow-Methods: 真实请求允许的方法；
• Access-Control-Allow-Credentials: 是否允许用户发送、处理 cookie；
• Access-Control-Max-Age: 预检请求的有效期，单位为秒。有效期内，不会重复发送预检请求；

Java微服务中解决跨域问题主要分为如下情况：

情况1：针对单个服务的跨域问题，增加允许跨域配置类即可。

如，前端vue+业务微服务

情况2：有网关时，网关配置允许跨域，微服务不配置。微服务项目网关服务为Spring Cloud Gateway，则要求所有请求统一走网关，无需给每个微服务都配置跨域，只需要给网关微服务gateway配置跨域即可。

如，前端vue+网关服务gateway+业务微服务

情况3：有网关时，网关配置允许跨域，微服务配置允许跨域。需要在网关的配置里加上重复请求头。配置DedupeResponseHeader=Vary Access-Control-Allow-Origin Access-Control-Allow-Credentials, RETAIN_UNIQUE。此时走不走网关，都没有跨域问题。

如，前端vue+网关服务gateway+业务微服务/认证授权微服务

情况4：网关不配置，微服务配置允许跨域。请求如果走网关，则会存在跨域问题。不走网关，直接访问微服务，没有跨域问题。

情况5：网关不配置，微服务不配置。走不走网关都会存在跨域问题。

情况1

单个springboot微服务的跨域配置如下

若springboot版本为2.4.0以前，则设置请求源为

corsConfiguration.addAllowedOrigin(“*”);

若springboot版本为2.4.0以后，则设置请求源为

corsConfiguration.setAllowedOriginPatterns(Collections.singletonList(“*”));

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        // 跨域配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        //设置跨域的配置信息
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        //1,允许任何来源
        corsConfiguration.setAllowedOriginPatterns(Collections.singletonList("*"));
        //2,允许任何请求头
        corsConfiguration.addAllowedHeader(CorsConfiguration.ALL);
        //3,允许任何方法
        corsConfiguration.addAllowedMethod(CorsConfiguration.ALL);
        //4,允许凭证
        corsConfiguration.setAllowCredentials(true);
        source.registerCorsConfiguration("/**", corsConfiguration);
        return new CorsFilter(source);
    }
}

其中，若在springboot2.3.10版本中使用corsConfiguration.addAllowedOrigin(“*”);是可以解决跨域问题的，若在springboot2.7.0版本中使用，会发现报跨域问题，查看后台日志提示如下异常：

When allowCredentials is true, allowedOrigins cannot contain the special value "*"since that cannot be set on the “Access-Control-Allow-Origin” response header. To allow credentials to a set of origins, list them explicitly or consider using “allowedOriginPatterns” instead.

可见，不能在 corsConfiguration.setAllowCredentials(true)的时候对addAllowedOrigin设置为"*"，而要使用 allowedOriginPatterns这个字段来设置origin。

其实，也可以采用重写WebMvcConfigurer的方式或使用注解@CrossOrigin的方式。

情况2

gateway网关服务中跨域配置类如下

若springboot版本为2.4.0以前，则设置请求源为

corsConfiguration.addAllowedOrigin(“*”);

若springboot版本为2.4.0以后，则设置请求源为

corsConfiguration.setAllowedOriginPatterns(Collections.singletonList(“*”));

@Configuration
public class CorsConfig {
    @Bean
    public CorsWebFilter corsFilter() {
        // 跨域配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        //设置跨域的配置信息
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        // 允许所有请求来源进行跨域
        //corsConfiguration.addAllowedOrigin("*");
        // spring boot2.4以后的配置
        corsConfiguration.setAllowedOriginPatterns(Collections.singletonList("*"));
        // 允许所有头进行跨域
        corsConfiguration.addAllowedHeader("*");
        // 允许所有请求方式进行跨域
        corsConfiguration.addAllowedMethod("*");
        // 允许携带cookie进行跨域
        corsConfiguration.setAllowCredentials(true);
        //任意路径都需要跨域配置
        source.registerCorsConfiguration("/**", corsConfiguration);
        return new CorsWebFilter(source);
    }
}

注：需要去掉业务微服务的跨域配置，防止多次跨域配置。

其实，也可以采用在gateway网关服务的application.yml文件中配置的方式，如：

spring:
  cloud:
    gateway:
      # 全局的跨域配置
      globalcors:
        # 解决options请求被拦截问题
        add-to-simple-url-handler-mapping: true
        cors-configurations:
          # 拦截的请求
          '[/**]':
            # 允许跨域的请求
            #allowedOrigins: "*" # spring boot2.4以前的配置
            allowedOriginPatterns: "*" # spring boot2.4以后的配置
            # 允许请求中携带的头信息
            allowedHeaders: "*"
            # 运行跨域的请求方式
            allowedMethods: "*"
            # 是否允许携带cookie
            alloweCredentials: true
            # 跨域检测的有效期,单位s
            maxAge: 36000

不要出现重复解决跨域问题，若之前用过注解@CrossOrigin，然后又添加了过滤器，就会导致重复，仅用过滤器就OK了。

情况3

当gateway网关服务设置了跨域，业务微服务也设置了跨域，则需要在网关的配置里加上重复请求头，如

pring:
  cloud:
    gateway:
      globalcors:
        default-filters:
                - DedupeResponseHeader=Vary Access-Control-Allow-Origin Access-Control-Allow-Headers Access-Control-Allow-Credentials,RETAIN_UNIQUE

当业务微服务集成了security+oauth2，会出现跨域失效的情况，需要在WebSecurityConfig配置类和ResourceServerConfig配置类中开启CORS，如下

	@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .cors()
                .and()
                .csrf().disable();
    }

	@Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .cors()
                .and()
                .csrf().disable();
     }

当gateway网关微服务集成了security+oauth2，又会出现跨域问题，则需要在ResourceServerConfig配置类中加入跨域过滤器，如下

	@Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) throws NoSuchAlgorithmException, IOException, InvalidKeySpecException {
        http.cors().and().csrf().disable();
		http.addFilterBefore(corsWebFiler, SecurityWebFiltersOrder.CORS);
	}

跨域问题：The ‘Access-Control-Allow-Origin’ header contains multiple values “*, *”, but only one is allowed.

分析：通常跨域问题可以在三个地方解决：

• 在微服务的代码中通过跨域配置类解决；
• 在网关中解决，可以通过配置类，也可以通过yml配置；
• 在nginx或vue中解决；

以上3种方式，若使用了2种，则会出现双重跨域的问题。那么若是知道那里用了2次跨域配置，选择去掉一个即可；若是2个地方都不想去掉，还可以在网关中通过yml配置来忽略掉双重跨域的问题。

spring:
  main:
    allow-bean-definition-overriding: true
    gateway:
      discovery:  默认为false，设为true便开启通过服务中心的自动根据 serviceId 创建路由的功能。
        locator:  
          enabled: true
          lowerCaseServiceId: true
      #解决跨域问题
      globalcors:
        corsConfigurations:
          '[/**]':
            # 允许携带认证信息
            allow-credentials: true
            # 允许跨域的源(网站域名/ip)，设置*为全部
            allowedOrigins: "*"
            # 允许跨域的method， 默认为GET和OPTIONS，设置*为全部
            allowedMethods: "*"
            # 允许跨域请求里的head字段，设置*为全部
            allowedHeaders: "*"
      #解决双重跨域 RETAIN_FIRST RETAIN_LAST RETAIN_UNIQUE
      default-filters:
        - DedupeResponseHeader=Access-Control-Allow-Origin Access-Control-Allow-Credentials Vary, RETAIN_UNIQUE

具体跨域问题还需根据具体情况分析解决。

到此这篇关于SpringCloud微服务中跨域配置的方法详解的文章就介绍到这了,更多相关SpringCloud跨域配置内容请搜索码农之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持码农之家！