Spring Boot 中的 Access-Control-Allow-Origin：跨域请求的解决方案

在现代 Web 开发中，跨域资源共享（CORS）是一个常见的问题，尤其是在前后端分离的架构中。Spring Boot 作为一个流行的 Java 框架，提供了简洁而强大的解决方案来处理 CORS 问题。本文将详细介绍 Access-Control-Allow-Origin 在 Spring Boot 中的应用，以及如何配置和使用它。

什么是 CORS？

CORS，全称 Cross-Origin Resource Sharing（跨域资源共享），是浏览器的一种安全机制，用于限制网页从不同的域名请求资源。默认情况下，浏览器会阻止跨域请求，除非服务器明确允许。Access-Control-Allow-Origin 就是服务器端设置的一个 HTTP 响应头，用于告知浏览器哪些域名可以访问该资源。

Spring Boot 中的 CORS 配置

在 Spring Boot 中，配置 CORS 非常简单。以下是几种常见的配置方法：

全局配置：通过在 WebMvcConfigurer 中添加 CORS 配置，可以全局设置 CORS 策略。

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowedHeaders("*")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

这里的 allowedOrigins("*") 表示允许所有域名访问，allowedMethods 指定了允许的 HTTP 方法。

控制器级别配置：如果只需要为特定的控制器或方法设置 CORS，可以使用 @CrossOrigin 注解。

@RestController
@RequestMapping("/api")
public class MyController {

    @CrossOrigin(origins = "http://example.com")
    @GetMapping("/data")
    public String getData() {
        return "Hello, World!";
    }
}

这样，getData 方法只允许 http://example.com 域名访问。

使用 Spring Security：如果项目中使用了 Spring Security，可以通过配置 HttpSecurity 来设置 CORS。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()
            // 其他配置
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("*"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

应用场景

前后端分离：在前后端分离的项目中，前端可能部署在不同的域名或端口上，需要通过 CORS 配置来允许前端访问后端 API。
微服务架构：在微服务架构中，不同服务可能运行在不同的域名或端口上，CORS 配置可以确保服务间的通信不受限制。
第三方 API 集成：当需要集成第三方 API 时，确保这些 API 能够被你的应用访问。

注意事项

安全性：虽然 CORS 配置可以方便地解决跨域问题，但也要注意安全性。不要轻易将 allowedOrigins 设置为 *，尤其是在生产环境中。
性能：过多的 CORS 配置可能会影响服务器性能，因此需要根据实际需求进行合理配置。
浏览器兼容性：不同浏览器对 CORS 的支持可能有所不同，确保你的配置在目标浏览器上有效。

通过以上配置和应用场景的介绍，相信大家对 Spring Boot 中的 Access-Control-Allow-Origin 有了更深入的了解。合理配置 CORS，不仅可以解决跨域问题，还能确保应用的安全性和性能。希望本文对你有所帮助，欢迎在评论区分享你的经验和问题。