此版本仍在开发中，尚未被视为稳定版本。对于最新的稳定版本，请使用 Spring Framework 6.2.0！spring-doc.cadn.net.cn

CORS

Spring WebFlux 允许您处理 CORS（跨域资源共享）。本节 介绍如何执行此作。spring-doc.cadn.net.cn

介绍

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

出于安全原因，浏览器禁止对当前源之外的资源进行 AJAX 调用。 例如，您可以将银行账户放在一个选项卡中，而 evil.com 放在另一个选项卡中。脚本 evil.com 中，应该无法使用 凭证 — 例如，从您的账户取款！spring-doc.cadn.net.cn

跨域资源共享 （CORS） 是大多数浏览器实现的 W3C 规范，允许您指定 授权什么样的跨域请求，而不是使用安全性较低且较少 基于 IFRAME 或 JSONP 的强大解决方法。spring-doc.cadn.net.cn

加工

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

CORS 规范区分了印前检查请求、简单请求和实际请求。 要了解 CORS 的工作原理，您可以阅读这篇文章，其中 许多其他方法，或者参见 规范 了解更多详情。spring-doc.cadn.net.cn

Spring WebFluxHandlerMappingimplementations 提供对 CORS 的内置支持。成功后 将请求映射到处理程序，则HandlerMapping检查 CORS 配置的 given request 和 handler 并采取进一步的作。处理印前检查请求 直接，而简单和实际的 CORS 请求被拦截、验证，并具有 所需的 CORS 响应标头集。spring-doc.cadn.net.cn

为了启用跨域请求（即Originheader 存在且 与请求的主机不同），您需要有一些显式声明的 CORS 配置。如果未找到匹配的 CORS 配置，则印前 Backup 请求为 拒绝。没有 CORS 标头添加到简单和实际 CORS 请求的响应中 因此，浏览器会拒绝它们。spring-doc.cadn.net.cn

每HandlerMapping可以使用基于 URL 模式的 URL 进行单独配置CorsConfiguration映射。在大多数情况下，应用程序 使用 WebFlux Java 配置来声明此类映射，这将产生单个 传递给所有HandlerMapping实现。spring-doc.cadn.net.cn

您可以在HandlerMappingLevel with More （更多级别） 精细的处理程序级 CORS 配置。例如，带注解的控制器可以使用 类级或方法级@CrossOrigin注解（其他处理程序可以实现CorsConfigurationSource).spring-doc.cadn.net.cn

组合全局配置和本地配置的规则通常是累加的 — 例如， 所有全球和所有本地源。对于只能使用单个值 accepted，例如allowCredentials和maxAge，则 local 将覆盖 global 值。看CorsConfiguration#combine(CorsConfiguration)了解更多详情。spring-doc.cadn.net.cn

要从源中了解更多信息或进行高级自定义，请参阅：spring-doc.cadn.net.cn

凭证请求

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

将 CORS 与凭证请求一起使用需要启用allowedCredentials.请注意， 此选项与配置的域建立高级别的信任，并且还会增加 通过公开敏感的用户特定信息，Web 应用程序的攻击面 例如 Cookie 和 CSRF 令牌。spring-doc.cadn.net.cn

启用凭证还会影响已配置 CORS 通配符的处理方式："*"spring-doc.cadn.net.cn

  • 通配符在 中未获得授权allowOrigins，但也可以 这allowOriginPatterns属性可用于匹配一组动态的源。spring-doc.cadn.net.cn

  • 当设置为allowedHeaders或allowedMethods这Access-Control-Allow-Headers和Access-Control-Allow-Methods响应标头的处理方法是将相关的 标头和方法。spring-doc.cadn.net.cn

  • 当设置为exposedHeaders,Access-Control-Expose-Headers响应标头 添加到配置的标头列表或通配符。虽然 CORS 规范 不允许使用通配符Access-Control-Allow-Credentials设置为true，则大多数浏览器都支持它，并且响应标头在 CORS 处理，因此通配符是 指定，而不管allowCredentials财产。spring-doc.cadn.net.cn

虽然这种通配符配置可能很方便，但建议在可能的情况下配置 一组有限的值，以提供更高级的安全性。

@CrossOrigin

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

这@CrossOriginannotation 支持对带注解的控制器方法进行跨域请求，因为 以下示例显示：spring-doc.cadn.net.cn

@RestController
@RequestMapping("/account")
public class AccountController {

	@CrossOrigin
	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}
@RestController
@RequestMapping("/account")
class AccountController {

	@CrossOrigin
	@GetMapping("/{id}")
	suspend fun retrieve(@PathVariable id: Long): Account {
		// ...
	}

	@DeleteMapping("/{id}")
	suspend fun remove(@PathVariable id: Long) {
		// ...
	}
}

默认情况下，@CrossOrigin允许：spring-doc.cadn.net.cn

allowCredentials默认情况下不启用，因为这会建立信任级别 公开敏感的用户特定信息（例如 cookie 和 CSRF 令牌）和 应仅在适当的情况下使用。启用时allowOrigins必须是 设置为一个或多个特定域（但不是 Special Value ）或 这"*"allowOriginPatterns属性可用于匹配一组动态的源。spring-doc.cadn.net.cn

maxAge设置为 30 分钟。spring-doc.cadn.net.cn

@CrossOrigin在类级别也受支持，并且被所有方法继承。 以下示例指定某个域，并将maxAge到一小时：spring-doc.cadn.net.cn

@CrossOrigin(origins = "https://domain2.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}
@CrossOrigin("https://domain2.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
class AccountController {

	@GetMapping("/{id}")
	suspend fun retrieve(@PathVariable id: Long): Account {
		// ...
	}

	@DeleteMapping("/{id}")
	suspend fun remove(@PathVariable id: Long) {
		// ...
	}
}

您可以使用@CrossOrigin在类和方法级别， 如下例所示：spring-doc.cadn.net.cn

@CrossOrigin(maxAge = 3600) (1)
@RestController
@RequestMapping("/account")
public class AccountController {

	@CrossOrigin("https://domain2.com") (2)
	@GetMapping("/{id}")
	public Mono<Account> retrieve(@PathVariable Long id) {
		// ...
	}

	@DeleteMapping("/{id}")
	public Mono<Void> remove(@PathVariable Long id) {
		// ...
	}
}
1 用@CrossOrigin在类级别。
2 用@CrossOrigin在方法级别。 
@CrossOrigin(maxAge = 3600) (1)
@RestController
@RequestMapping("/account")
class AccountController {

	@CrossOrigin("https://domain2.com") (2)
	@GetMapping("/{id}")
	suspend fun retrieve(@PathVariable id: Long): Account {
		// ...
	}

	@DeleteMapping("/{id}")
	suspend fun remove(@PathVariable id: Long) {
		// ...
	}
}
1 用@CrossOrigin在类级别。
2 用@CrossOrigin在方法级别。

全局配置

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

除了细粒度的 controller 方法级配置之外，您可能还希望 也定义一些全局 CORS 配置。您可以设置基于 URLCorsConfiguration映射HandlerMapping.但是，大多数应用程序都使用 WebFlux Java 配置来执行此作。spring-doc.cadn.net.cn

默认情况下，全局配置会启用以下内容：spring-doc.cadn.net.cn

allowedCredentials默认情况下不启用，因为这会建立信任级别 公开敏感的用户特定信息（例如 cookie 和 CSRF 令牌）和 应仅在适当的情况下使用。启用时allowOrigins必须是 设置为一个或多个特定域（但不是 Special Value ）或 这"*"allowOriginPatterns属性可用于匹配一组动态的源。spring-doc.cadn.net.cn

maxAge设置为 30 分钟。spring-doc.cadn.net.cn

要在 WebFlux Java 配置中启用 CORS，您可以使用CorsRegistry回调 如下例所示：spring-doc.cadn.net.cn

@Configuration
@EnableWebFlux
public class WebConfig implements WebFluxConfigurer {

	@Override
	public void addCorsMappings(CorsRegistry registry) {

		registry.addMapping("/api/**")
			.allowedOrigins("https://domain2.com")
			.allowedMethods("PUT", "DELETE")
			.allowedHeaders("header1", "header2", "header3")
			.exposedHeaders("header1", "header2")
			.allowCredentials(true).maxAge(3600);

		// Add more mappings...
	}
}
@Configuration
@EnableWebFlux
class WebConfig : WebFluxConfigurer {

	override fun addCorsMappings(registry: CorsRegistry) {

		registry.addMapping("/api/**")
				.allowedOrigins("https://domain2.com")
				.allowedMethods("PUT", "DELETE")
				.allowedHeaders("header1", "header2", "header3")
				.exposedHeaders("header1", "header2")
				.allowCredentials(true).maxAge(3600)

		// Add more mappings...
	}
}

CORSWebFilter

请参阅 Servlet 堆栈中的等效项spring-doc.cadn.net.cn

您可以通过内置的CorsWebFilter，它是一个 与功能端点拟合良好。spring-doc.cadn.net.cn

如果您尝试使用CorsFilter使用 Spring Security，请记住 Spring Security 内置了对 CORS 的。

要配置过滤器，您可以声明CorsWebFilterbean 并传递一个CorsConfigurationSource添加到其构造函数中，如下例所示：spring-doc.cadn.net.cn

@Bean
CorsWebFilter corsFilter() {

	CorsConfiguration config = new CorsConfiguration();

	// Possibly...
	// config.applyPermitDefaultValues()

	config.setAllowCredentials(true);
	config.addAllowedOrigin("https://domain1.com");
	config.addAllowedHeader("*");
	config.addAllowedMethod("*");

	UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
	source.registerCorsConfiguration("/**", config);

	return new CorsWebFilter(source);
}
@Bean
fun corsFilter(): CorsWebFilter {

	val config = CorsConfiguration()

	// Possibly...
	// config.applyPermitDefaultValues()

	config.allowCredentials = true
	config.addAllowedOrigin("https://domain1.com")
	config.addAllowedHeader("*")
	config.addAllowedMethod("*")

	val source = UrlBasedCorsConfigurationSource().apply {
		registerCorsConfiguration("/**", config)
	}
	return CorsWebFilter(source)
}