Java 中的跨域问题解决方法

@RestController
@RequestMapping("/api")
public class MyController {
    // 允许单个方法跨域
    @CrossOrigin(origins = "http://localhost:3000")
    @GetMapping("/hello")
    public String hello() {
        return "Hello, CORS!";
    }
    // 允许整个控制器跨域
    @CrossOrigin(origins = "http://localhost:3000")
    @GetMapping("/another")
    public String another() {
        return "Another endpoint";
    }
}

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")  // 所有路径
                .allowedOrigins("http://localhost:3000", "https://example.com")  // 允许的源
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")  // 允许的方法
                .allowedHeaders("*")  // 允许的请求头
                .allowCredentials(true)  // 允许携带凭证(cookie等)
                .maxAge(3600);  // 预检请求的缓存时间(秒)
    }
}

/**
 * CORS跨域过滤器配置
 * 用于处理浏览器跨域请求的支持
 * 过滤器会拦截所有请求(/*)并添加CORS响应头
 */
@WebFilter("/*")  // 拦截所有请求
public class CorsFilter implements Filter {
    /**
     * 过滤器核心方法，处理请求和响应
     * @param req ServletRequest对象
     * @param res ServletResponse对象
     * @param chain FilterChain对象，用于继续过滤器链
     */
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) 
            throws IOException, ServletException {
        // 类型转换为HTTP相关的请求/响应对象
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;
        // 设置允许所有域访问（生产环境应替换为具体域名）
        response.setHeader("Access-Control-Allow-Origin", "*");
        // 设置允许的HTTP方法
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        // 设置预检请求的缓存时间（1小时）
        response.setHeader("Access-Control-Max-Age", "3600");
        // 设置允许的请求头（包括自定义头）
        response.setHeader("Access-Control-Allow-Headers", "authorization, content-type, xsrf-token");
        // 设置允许前端访问的响应头（暴露自定义头）
        response.addHeader("Access-Control-Expose-Headers", "xsrf-token");
        // 处理OPTIONS预检请求
        if ("OPTIONS".equals(request.getMethod())) {
            // 直接返回200状态码，不继续过滤器链
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            // 非OPTIONS请求，继续过滤器链
            chain.doFilter(req, res);
        }
    }
    /**
     * 过滤器初始化方法（可留空）
     * @param filterConfig 过滤器配置对象
     */
    @Override 
    public void init(FilterConfig filterConfig) {
        // 初始化逻辑（如有需要）
    }
    /**
     * 过滤器销毁方法（可留空）
     */
    @Override 
    public void destroy() {
        // 清理资源逻辑（如有需要）
    }
}

/**
 * Spring Security 安全配置类
 * 用于配置应用的安全策略和CORS跨域设置
 */
@Configuration  // 标记为Spring配置类
@EnableWebSecurity  // 启用Spring Security的Web安全支持
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    /**
     * 配置HTTP安全策略
     * @param http HttpSecurity对象，用于配置安全策略
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 启用CORS支持(使用下面定义的corsConfigurationSource bean)
            .cors().and()  
            // 禁用CSRF防护(跨站请求伪造)，因为API通常使用token验证而非session
            // 注意：如果前端与后端同域且使用session，应该保持启用
            .csrf().disable()  
            // 开始配置请求授权规则
            .authorizeRequests()
                // 允许/api/public/开头的URL无需认证
                .antMatchers("/api/public/**").permitAll()  
                // 其他所有请求都需要认证
                .anyRequest().authenticated();
    }
    /**
     * 配置CORS跨域设置
     * @return CorsConfigurationSource 跨域配置源
     */
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        // 创建CORS配置对象
        CorsConfiguration configuration = new CorsConfiguration();
        // 设置允许的源(前端地址)，可以添加多个
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
        // 设置允许的HTTP方法
        configuration.setAllowedMethods(Arrays.asList(
            "GET",      // 获取资源
            "POST",     // 创建资源
            "PUT",      // 更新资源
            "DELETE",   // 删除资源
            "OPTIONS"   // 预检请求
        ));
        // 设置允许的请求头(*表示所有)
        configuration.setAllowedHeaders(Arrays.asList("*"));
        // 允许发送凭据(cookie、认证信息等)
        // 注意：当设置为true时，allowedOrigins不能为*
        configuration.setAllowCredentials(true);
        // 创建基于URL的CORS配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        // 对所有URL路径应用上述CORS配置
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}