SpringMVC跨域問題排查以及源碼實現

来源:https://www.cnblogs.com/wxw16/archive/2019/04/09/10674539.html
-Advertisement-
Play Games

SpringMVC跨域問題排查以及源碼實現 最近一次項目中，將SpringMVC版本從4.1.1升級到4.3.10，出現跨域失敗的情況。關於同源策略和跨域解決方案，網上有很多資料。 項目採用的方式是通過實現過濾器Filter，在Response返回頭文件添加跨域資源共用（CORS） 相關的參數。 發 ...


SpringMVC跨域問題排查以及源碼實現

最近一次項目中，將SpringMVC版本從4.1.1升級到4.3.10，出現跨域失敗的情況。關於同源策略和跨域解決方案，網上有很多資料。

項目採用的方式是通過實現過濾器Filter，在Response返回頭文件添加跨域資源共用（CORS） 相關的參數。

response.addHeader("Access-Control-Allow-Origin", "http://test.com");
response.addHeader("Access-Control-Allow-Credentials", "true");
response.addHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PUT, HEAD");
response.addHeader("Access-Control-Allow-Headers", "Content-Type");
response.addHeader("Access-Control-Max-Age", "3600");

發佈完成，回歸測試的過程發現跨域失敗，但是本地開發是沒有問題的。

經過排查線下和線上的區別，因為是前後端分離項目，所以線上基本會配置前端和後端獨立的功能變數名稱，通過跨域的方式調用。但是本地開發的時候，前端通過nginx配置轉發請求到後端服務，也就避開了跨域的問題。所以為了不影響線上環境，先暫時把線上的調用改成和線下一致，服務正常。

後面開始排查具體的失敗問題，開始排查的幾個點：

  1. 4.1.1到4.3.10 SpringMVC有什麼版本更新
  2. 為什麼4.1.1沒有問題，4.3.10會有問題，畢竟項目採用的跨域解決方案是比較通用（W3C標準 ）的，沒有涉及框架層面。

通過查看SpringMVC官方文檔，從4.2.0版本開始，SpringMVC開始支持CORS跨域解決方案，主要表現是通過簡單的配置，就可以支持CORS，從後面源碼分析，可以看到本質還是對Response添加頭文件。
https://docs.spring.io/spring/docs/4.2.0.RELEASE/spring-framework-reference/html

可以看到最快的方式實現CORS，通過xml配置

<mvc:cors>
    <mvc:mapping path="/**" />
</mvc:cors>

把項目代碼原先的跨域方式改成，框架提供的方案。（去掉原先的過濾器）

再一次測試發現，並沒有解決問題，還是和原先的效果是一樣的。說明通過配置xml的實現和原先的實現幾乎是一樣的。繼續排查問題。

可以看到跨域預處理請求返回狀態碼是302，考慮到幾點：3xx一般是許可權問題導致、跨域預處理請求頭參數不會攜帶參數。所以聯想到Login的攔截器，通過Debug打斷點的方式，確實options請求走到了攔截器裡面，那也就基本確認是因為攔截器校驗失敗，導致的跨域預處理請求失敗。後面驗證了之前4.1.1的校驗過程，看到options請求並沒有走到Login的攔截器。

通過上面的排查，也就有了後面的問題和源碼解讀。

  1. 為什麼4.1.1和4.3.10的options請求攔截器處理不一樣。
  2. 4.2.0以上版本SpringMVC對於CORS的實現原理。

SpringMVC的入口文件DispatcherServlet，我們分為4.2.0之前和之前兩個方面追溯options請求的處理過程，對於SpringMVC本身源碼不詳細討論，只針對跨域相關內容。

4.2.0之前，預設情況下DispatcherServlet繼承自FrameworkServlet，FrameworkServlet處理了所有的http請求，調用processRequest() 方法。我們主要看下options請求。

protected void doOptions(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    if(this.dispatchOptionsRequest) {
        this.processRequest(request, response);
        if(response.containsHeader("Allow")) {
            return;
        }
    }

    super.doOptions(request, new HttpServletResponseWrapper(response) {
        public void setHeader(String name, String value) {
            if("Allow".equals(name)) {
                value = (StringUtils.hasLength(value)?value + ", ":"") + RequestMethod.PATCH.name();
            }

            super.setHeader(name, value);
        }
    });
}

SpringMVC提供了Boolean類型的dispatchOptionsRequest來控制是否開啟對options請求的處理，預設情況下不做處理，直接調用父類的doOptions()方法。基本上沒有做任何處理，就對請求返回正常的響應結果，主要是CORS預請求作為校驗需要的請求頭封裝。

顯然在4.2.0之前的版本，options請求不會進入到Login攔截器。

4.2.0之後，SpringMVC源碼文件加入了很多關於CORS處理的文件，我們還是先看到FrameworkServlet對於options的請求處理。

protected void doOptions(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    if(this.dispatchOptionsRequest || CorsUtils.isPreFlightRequest(request)) {
        this.processRequest(request, response);
        if(response.containsHeader("Allow")) {
            return;
        }
    }

    super.doOptions(request, new HttpServletResponseWrapper(response) {
        public void setHeader(String name, String value) {
            if("Allow".equals(name)) {
                value = (StringUtils.hasLength(value)?value + ", ":"") + HttpMethod.PATCH.name();
            }

            super.setHeader(name, value);
        }
    });
}

可以看到最大的區別是CorsUtils.isPreFlightRequest(request)，這個靜態方法是用於判斷請求是否是預處理請求，顯然options會返回true，所以也就會執行和其他請求一樣的processRequest()方法，繼續往下看。

快速查看調用路徑FrameworkServlet.processRequest()->DispatcherServlet.doService()->DispatcherServlet.doDispatch()。

try {
    processedRequest = this.checkMultipart(request);
    multipartRequestParsed = processedRequest != request;
    mappedHandler = this.getHandler(processedRequest);
    if(mappedHandler == null || mappedHandler.getHandler() == null) {
        this.noHandlerFound(processedRequest, response);
        return;
    }

    HandlerAdapter ha = this.getHandlerAdapter(mappedHandler.getHandler());
    String method = request.getMethod();
    boolean isGet = "GET".equals(method);
    if(isGet || "HEAD".equals(method)) {
        long lastModified = ha.getLastModified(request, mappedHandler.getHandler());
        if(this.logger.isDebugEnabled()) {
            this.logger.debug("Last-Modified value for [" + getRequestUri(request) + "] is: " + lastModified);
        }

        if((new ServletWebRequest(request, response)).checkNotModified(lastModified) && isGet) {
            return;
        }
    }

    if(!mappedHandler.applyPreHandle(processedRequest, response)) {
        return;
    }

    mv = ha.handle(processedRequest, response, mappedHandler.getHandler());
    if(asyncManager.isConcurrentHandlingStarted()) {
        return;
    }

    this.applyDefaultViewName(processedRequest, mv);
    mappedHandler.applyPostHandle(processedRequest, response, mv);
} catch (Exception var20) {
    dispatchException = var20;
} catch (Throwable var21) {
    dispatchException = new NestedServletException("Handler dispatch failed", var21);
}

可以看到一個請求，會通過getHandler()方法獲取處理器，在處理之前會先執行applyPreHandle()，處理所有攔截器的前置方法，所以我們可以確定的一個問題是，因為doOptions()的不同，所以options請求攔截器處理不一樣。

繼續看CORS的實現原理，我們看下getHandler()方法的實現。

protected HandlerExecutionChain getHandler(HttpServletRequest request) throws Exception {
    Iterator var2 = this.handlerMappings.iterator();

    HandlerExecutionChain handler;
    do {
        if(!var2.hasNext()) {
            return null;
        }

        HandlerMapping hm = (HandlerMapping)var2.next();
        if(this.logger.isTraceEnabled()) {
            this.logger.trace("Testing handler map [" + hm + "] in DispatcherServlet with name '" + this.getServletName() + "'");
        }

        handler = hm.getHandler(request);
    } while(handler == null);

    return handler;
}

針對請求request，在handlerMappings這個Map中相應的處理器，在SpringMVC執行init方法時，已經預載入處理器Map。處理器實現了HandlerMapping介面的getHandler方法。看到預設AbstractHandlerMapping抽象類實現了該方法。

public final HandlerExecutionChain getHandler(HttpServletRequest request) throws Exception {
    Object handler = this.getHandlerInternal(request);
    if(handler == null) {
        handler = this.getDefaultHandler();
    }

    if(handler == null) {
        return null;
    } else {
        if(handler instanceof String) {
            String handlerName = (String)handler;
            handler = this.getApplicationContext().getBean(handlerName);
        }

        HandlerExecutionChain executionChain = this.getHandlerExecutionChain(handler, request);
        if(CorsUtils.isCorsRequest(request)) {
            CorsConfiguration globalConfig = this.corsConfigSource.getCorsConfiguration(request);
            CorsConfiguration handlerConfig = this.getCorsConfiguration(handler, request);
            CorsConfiguration config = globalConfig != null?globalConfig.combine(handlerConfig):handlerConfig;
            executionChain = this.getCorsHandlerExecutionChain(request, executionChain, config);
        }

        return executionChain;
    }
}

我們主要看對於CORS的處理代碼段，首先判斷CORS請求。然後是對CORS配置的config處理（也就是SpringMVC提供的配置介面，包括xml、註釋），主要是支持請求類型、域、緩存時長等，繼續看getCorsHandlerExecutionChain()實現。

protected HandlerExecutionChain getCorsHandlerExecutionChain(HttpServletRequest request, HandlerExecutionChain chain, CorsConfiguration config) {
    if(CorsUtils.isPreFlightRequest(request)) {
        HandlerInterceptor[] interceptors = chain.getInterceptors();
        chain = new HandlerExecutionChain(new AbstractHandlerMapping.PreFlightHandler(config), interceptors);
    } else {
        chain.addInterceptor(new AbstractHandlerMapping.CorsInterceptor(config));
    }

    return chain;
}

對於CORS的非簡單請求，主要分為預處理請求和正常請求，SpringMVC分別進行處理，把針對每個請求的處理看作是調用鏈，這個調用鏈肯定會包含攔截器，看到上面對於預處理請求的處理方式，會把調用鏈根據config配置重新初始化，同時把攔截器賦值進去，這樣就更近一步說明，options預處理請求，會執行到Login攔截器中。針對CORS的正常請求，SpringMVC就會動態添加一個攔截器，它的主要作用就是和我們自己實現的過濾器的效果是一致的。

綜上，基本知道問題發生的原因和原理，項目後面的改進方式，採用對Login攔截器，使用封裝的CorsUtils.isPreFlightRequest(request)判斷是不是預處理請求，如果是，就不對登錄態校驗。

後記：對於options的請求，為什麼SpringMVC4.2.0以後，需要配置config處理，而不是直接和原先的處理一樣，直接返回成功。猜測是可以通過config更豐富的配置。而不是籠統的返回跨域支持和不支持。

轉載請註明出處。
作者：wuxiwei
出處：http://www.cnblogs.com/wxw16/p/10674539.html


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 設計模式之裝飾者模式（二）
    歡迎大家的不嫌棄，繼續和我一起學習設計模式。上一篇已經把裝飾者模式的類圖有了一個整體的出來，末尾說的去想想實現的代碼，你實踐了嗎？是什麼原因讓你實踐了呢？又是什麼原因讓你沒有動手呢？沒動手，可能是思路還不夠明確是嗎？ 接下來，我們繼續學習。通過代碼實現的方式，來搞定裝飾者模式。 寫下代碼 動手的時候 ...
  • 有關java（初學筆記）
    JAVA的主要優勢：跨平臺性，可以在Linux，windows，mac三個系統上運行。 跨平臺的核心：JAVA虛擬機--JVM 原理就是將Java語言在這個系統上翻譯。JAVA在jvm上運行，jvm進行翻譯。 JRE：java的運行環境，包括JVM和所需要的核心類。 JDK：java程式的開發包，包 ...
  • 穩定性「三十六計」- 配額管控
    背景 《SRE Google運維解密》里提到SRE自動化系統的一個bug導致幾乎所有的數據中心機器被成功下線併進行硬碟擦除。當然這本書出版之後又業界也進行了很多的演進。在我們團隊現在很難發生這樣的事情。因為團隊內人人要遵循的一個設計原則是：原則上禁止批量操作。如需批量，需要有審核流程。批量設置上限。 ...
  • Redis的正確使用姿勢
    前言 說到分散式緩存，可能大多數人腦海浮現的就是redis了，為什麼redis能夠在競爭激烈的緩存大戰中脫穎而出呢？原因無非有一下幾點：性能好，豐富的特性跟數據結構，api操作簡單。但是用的人多了，就會出現很多不規範或者疏忽的地方，嚴重的時候甚至會導致生產事故，所以我們有必要來聊聊在Redis使用過 ...
  • Istio入門實戰與架構原理——使用Docker Compose搭建Service Mesh
    本文將介紹如何使用Docker Compose搭建Istio。Istio號稱支持多種平臺（不僅僅Kubernetes）。然而，官網上非基於Kubernetes的教程仿佛不是親兒子，寫得非常隨便，不僅缺了一些內容，而且還有坑。本文希望能補實這些內容。我認為在學習Istio的過程中，相比於Kuberne ...
  • 論JVM爆炸的幾種姿勢及自救方法
    前言 如今不管是在面試還是在我們的工作中，OOM總是不斷的出現在我們的視野中，所以我們有必要去瞭解一下導致OOM的原因以及一些基本的調整方法，大家可以通過下麵的事例來瞭解一下什麼樣的代碼會導致OOM，幫助我們以後在工作中能夠通過異常信息來判斷是JVM裡面哪個區域出現了問題。 先介紹一下筆者的相關編碼 ...
  • Spring Boot 2.2 增加了一個新功能，啟動飛起~
    前幾天棧長分享了一個好玩的框架： "一個比Spring Boot快44倍的Java框架！" ，是不是感覺 Spring Boot 略慢？今天講一下 Spring Boot 添加的這個新特性，可以大大提升 Spring Boot 的啟動速度。 最近，Spring團隊宣佈在 Spring Boot 2. ...
  • Dijkstra學習筆記
    ~~暫時空白....~~ 沒有前置，我用vector存圖 cpp //存儲 struct edge{ int w,to;//w是權值，to是連接到的下一條邊 }; vector e; //連邊 ... for(int i=1;i ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類