SpringMVC跨域問題排查以及源碼實現

来源:https://www.cnblogs.com/wxw16/archive/2019/04/09/10674539.html
-Advertisement-
Play Games

SpringMVC跨域問題排查以及源碼實現 最近一次項目中，將SpringMVC版本從4.1.1升級到4.3.10，出現跨域失敗的情況。關於同源策略和跨域解決方案，網上有很多資料。 項目採用的方式是通過實現過濾器Filter，在Response返回頭文件添加跨域資源共用（CORS） 相關的參數。 發 ...


SpringMVC跨域問題排查以及源碼實現

最近一次項目中，將SpringMVC版本從4.1.1升級到4.3.10，出現跨域失敗的情況。關於同源策略和跨域解決方案，網上有很多資料。

項目採用的方式是通過實現過濾器Filter，在Response返回頭文件添加跨域資源共用（CORS） 相關的參數。

response.addHeader("Access-Control-Allow-Origin", "http://test.com");
response.addHeader("Access-Control-Allow-Credentials", "true");
response.addHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PUT, HEAD");
response.addHeader("Access-Control-Allow-Headers", "Content-Type");
response.addHeader("Access-Control-Max-Age", "3600");

發佈完成，回歸測試的過程發現跨域失敗，但是本地開發是沒有問題的。

經過排查線下和線上的區別，因為是前後端分離項目，所以線上基本會配置前端和後端獨立的功能變數名稱，通過跨域的方式調用。但是本地開發的時候，前端通過nginx配置轉發請求到後端服務，也就避開了跨域的問題。所以為了不影響線上環境，先暫時把線上的調用改成和線下一致，服務正常。

後面開始排查具體的失敗問題，開始排查的幾個點：

  1. 4.1.1到4.3.10 SpringMVC有什麼版本更新
  2. 為什麼4.1.1沒有問題，4.3.10會有問題，畢竟項目採用的跨域解決方案是比較通用（W3C標準 ）的，沒有涉及框架層面。

通過查看SpringMVC官方文檔，從4.2.0版本開始，SpringMVC開始支持CORS跨域解決方案，主要表現是通過簡單的配置，就可以支持CORS，從後面源碼分析，可以看到本質還是對Response添加頭文件。
https://docs.spring.io/spring/docs/4.2.0.RELEASE/spring-framework-reference/html

可以看到最快的方式實現CORS，通過xml配置

<mvc:cors>
    <mvc:mapping path="/**" />
</mvc:cors>

把項目代碼原先的跨域方式改成，框架提供的方案。（去掉原先的過濾器）

再一次測試發現，並沒有解決問題，還是和原先的效果是一樣的。說明通過配置xml的實現和原先的實現幾乎是一樣的。繼續排查問題。

可以看到跨域預處理請求返回狀態碼是302，考慮到幾點：3xx一般是許可權問題導致、跨域預處理請求頭參數不會攜帶參數。所以聯想到Login的攔截器，通過Debug打斷點的方式，確實options請求走到了攔截器裡面，那也就基本確認是因為攔截器校驗失敗，導致的跨域預處理請求失敗。後面驗證了之前4.1.1的校驗過程，看到options請求並沒有走到Login的攔截器。

通過上面的排查，也就有了後面的問題和源碼解讀。

  1. 為什麼4.1.1和4.3.10的options請求攔截器處理不一樣。
  2. 4.2.0以上版本SpringMVC對於CORS的實現原理。

SpringMVC的入口文件DispatcherServlet，我們分為4.2.0之前和之前兩個方面追溯options請求的處理過程，對於SpringMVC本身源碼不詳細討論，只針對跨域相關內容。

4.2.0之前，預設情況下DispatcherServlet繼承自FrameworkServlet，FrameworkServlet處理了所有的http請求，調用processRequest() 方法。我們主要看下options請求。

protected void doOptions(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    if(this.dispatchOptionsRequest) {
        this.processRequest(request, response);
        if(response.containsHeader("Allow")) {
            return;
        }
    }

    super.doOptions(request, new HttpServletResponseWrapper(response) {
        public void setHeader(String name, String value) {
            if("Allow".equals(name)) {
                value = (StringUtils.hasLength(value)?value + ", ":"") + RequestMethod.PATCH.name();
            }

            super.setHeader(name, value);
        }
    });
}

SpringMVC提供了Boolean類型的dispatchOptionsRequest來控制是否開啟對options請求的處理，預設情況下不做處理，直接調用父類的doOptions()方法。基本上沒有做任何處理，就對請求返回正常的響應結果，主要是CORS預請求作為校驗需要的請求頭封裝。

顯然在4.2.0之前的版本，options請求不會進入到Login攔截器。

4.2.0之後，SpringMVC源碼文件加入了很多關於CORS處理的文件，我們還是先看到FrameworkServlet對於options的請求處理。

protected void doOptions(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    if(this.dispatchOptionsRequest || CorsUtils.isPreFlightRequest(request)) {
        this.processRequest(request, response);
        if(response.containsHeader("Allow")) {
            return;
        }
    }

    super.doOptions(request, new HttpServletResponseWrapper(response) {
        public void setHeader(String name, String value) {
            if("Allow".equals(name)) {
                value = (StringUtils.hasLength(value)?value + ", ":"") + HttpMethod.PATCH.name();
            }

            super.setHeader(name, value);
        }
    });
}

可以看到最大的區別是CorsUtils.isPreFlightRequest(request)，這個靜態方法是用於判斷請求是否是預處理請求，顯然options會返回true，所以也就會執行和其他請求一樣的processRequest()方法，繼續往下看。

快速查看調用路徑FrameworkServlet.processRequest()->DispatcherServlet.doService()->DispatcherServlet.doDispatch()。

try {
    processedRequest = this.checkMultipart(request);
    multipartRequestParsed = processedRequest != request;
    mappedHandler = this.getHandler(processedRequest);
    if(mappedHandler == null || mappedHandler.getHandler() == null) {
        this.noHandlerFound(processedRequest, response);
        return;
    }

    HandlerAdapter ha = this.getHandlerAdapter(mappedHandler.getHandler());
    String method = request.getMethod();
    boolean isGet = "GET".equals(method);
    if(isGet || "HEAD".equals(method)) {
        long lastModified = ha.getLastModified(request, mappedHandler.getHandler());
        if(this.logger.isDebugEnabled()) {
            this.logger.debug("Last-Modified value for [" + getRequestUri(request) + "] is: " + lastModified);
        }

        if((new ServletWebRequest(request, response)).checkNotModified(lastModified) && isGet) {
            return;
        }
    }

    if(!mappedHandler.applyPreHandle(processedRequest, response)) {
        return;
    }

    mv = ha.handle(processedRequest, response, mappedHandler.getHandler());
    if(asyncManager.isConcurrentHandlingStarted()) {
        return;
    }

    this.applyDefaultViewName(processedRequest, mv);
    mappedHandler.applyPostHandle(processedRequest, response, mv);
} catch (Exception var20) {
    dispatchException = var20;
} catch (Throwable var21) {
    dispatchException = new NestedServletException("Handler dispatch failed", var21);
}

可以看到一個請求，會通過getHandler()方法獲取處理器，在處理之前會先執行applyPreHandle()，處理所有攔截器的前置方法，所以我們可以確定的一個問題是，因為doOptions()的不同，所以options請求攔截器處理不一樣。

繼續看CORS的實現原理，我們看下getHandler()方法的實現。

protected HandlerExecutionChain getHandler(HttpServletRequest request) throws Exception {
    Iterator var2 = this.handlerMappings.iterator();

    HandlerExecutionChain handler;
    do {
        if(!var2.hasNext()) {
            return null;
        }

        HandlerMapping hm = (HandlerMapping)var2.next();
        if(this.logger.isTraceEnabled()) {
            this.logger.trace("Testing handler map [" + hm + "] in DispatcherServlet with name '" + this.getServletName() + "'");
        }

        handler = hm.getHandler(request);
    } while(handler == null);

    return handler;
}

針對請求request，在handlerMappings這個Map中相應的處理器，在SpringMVC執行init方法時，已經預載入處理器Map。處理器實現了HandlerMapping介面的getHandler方法。看到預設AbstractHandlerMapping抽象類實現了該方法。

public final HandlerExecutionChain getHandler(HttpServletRequest request) throws Exception {
    Object handler = this.getHandlerInternal(request);
    if(handler == null) {
        handler = this.getDefaultHandler();
    }

    if(handler == null) {
        return null;
    } else {
        if(handler instanceof String) {
            String handlerName = (String)handler;
            handler = this.getApplicationContext().getBean(handlerName);
        }

        HandlerExecutionChain executionChain = this.getHandlerExecutionChain(handler, request);
        if(CorsUtils.isCorsRequest(request)) {
            CorsConfiguration globalConfig = this.corsConfigSource.getCorsConfiguration(request);
            CorsConfiguration handlerConfig = this.getCorsConfiguration(handler, request);
            CorsConfiguration config = globalConfig != null?globalConfig.combine(handlerConfig):handlerConfig;
            executionChain = this.getCorsHandlerExecutionChain(request, executionChain, config);
        }

        return executionChain;
    }
}

我們主要看對於CORS的處理代碼段，首先判斷CORS請求。然後是對CORS配置的config處理（也就是SpringMVC提供的配置介面，包括xml、註釋），主要是支持請求類型、域、緩存時長等，繼續看getCorsHandlerExecutionChain()實現。

protected HandlerExecutionChain getCorsHandlerExecutionChain(HttpServletRequest request, HandlerExecutionChain chain, CorsConfiguration config) {
    if(CorsUtils.isPreFlightRequest(request)) {
        HandlerInterceptor[] interceptors = chain.getInterceptors();
        chain = new HandlerExecutionChain(new AbstractHandlerMapping.PreFlightHandler(config), interceptors);
    } else {
        chain.addInterceptor(new AbstractHandlerMapping.CorsInterceptor(config));
    }

    return chain;
}

對於CORS的非簡單請求，主要分為預處理請求和正常請求，SpringMVC分別進行處理，把針對每個請求的處理看作是調用鏈，這個調用鏈肯定會包含攔截器，看到上面對於預處理請求的處理方式，會把調用鏈根據config配置重新初始化，同時把攔截器賦值進去，這樣就更近一步說明，options預處理請求，會執行到Login攔截器中。針對CORS的正常請求，SpringMVC就會動態添加一個攔截器，它的主要作用就是和我們自己實現的過濾器的效果是一致的。

綜上，基本知道問題發生的原因和原理，項目後面的改進方式，採用對Login攔截器，使用封裝的CorsUtils.isPreFlightRequest(request)判斷是不是預處理請求，如果是，就不對登錄態校驗。

後記：對於options的請求，為什麼SpringMVC4.2.0以後，需要配置config處理，而不是直接和原先的處理一樣，直接返回成功。猜測是可以通過config更豐富的配置。而不是籠統的返回跨域支持和不支持。

轉載請註明出處。
作者：wuxiwei
出處：http://www.cnblogs.com/wxw16/p/10674539.html


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 設計模式之裝飾者模式（二）
    歡迎大家的不嫌棄，繼續和我一起學習設計模式。上一篇已經把裝飾者模式的類圖有了一個整體的出來，末尾說的去想想實現的代碼，你實踐了嗎？是什麼原因讓你實踐了呢？又是什麼原因讓你沒有動手呢？沒動手，可能是思路還不夠明確是嗎？ 接下來，我們繼續學習。通過代碼實現的方式，來搞定裝飾者模式。 寫下代碼 動手的時候 ...
  • 有關java（初學筆記）
    JAVA的主要優勢：跨平臺性，可以在Linux，windows，mac三個系統上運行。 跨平臺的核心：JAVA虛擬機--JVM 原理就是將Java語言在這個系統上翻譯。JAVA在jvm上運行，jvm進行翻譯。 JRE：java的運行環境，包括JVM和所需要的核心類。 JDK：java程式的開發包，包 ...
  • 穩定性「三十六計」- 配額管控
    背景 《SRE Google運維解密》里提到SRE自動化系統的一個bug導致幾乎所有的數據中心機器被成功下線併進行硬碟擦除。當然這本書出版之後又業界也進行了很多的演進。在我們團隊現在很難發生這樣的事情。因為團隊內人人要遵循的一個設計原則是：原則上禁止批量操作。如需批量，需要有審核流程。批量設置上限。 ...
  • Redis的正確使用姿勢
    前言 說到分散式緩存，可能大多數人腦海浮現的就是redis了，為什麼redis能夠在競爭激烈的緩存大戰中脫穎而出呢？原因無非有一下幾點：性能好，豐富的特性跟數據結構，api操作簡單。但是用的人多了，就會出現很多不規範或者疏忽的地方，嚴重的時候甚至會導致生產事故，所以我們有必要來聊聊在Redis使用過 ...
  • Istio入門實戰與架構原理——使用Docker Compose搭建Service Mesh
    本文將介紹如何使用Docker Compose搭建Istio。Istio號稱支持多種平臺（不僅僅Kubernetes）。然而，官網上非基於Kubernetes的教程仿佛不是親兒子，寫得非常隨便，不僅缺了一些內容，而且還有坑。本文希望能補實這些內容。我認為在學習Istio的過程中，相比於Kuberne ...
  • 論JVM爆炸的幾種姿勢及自救方法
    前言 如今不管是在面試還是在我們的工作中，OOM總是不斷的出現在我們的視野中，所以我們有必要去瞭解一下導致OOM的原因以及一些基本的調整方法，大家可以通過下麵的事例來瞭解一下什麼樣的代碼會導致OOM，幫助我們以後在工作中能夠通過異常信息來判斷是JVM裡面哪個區域出現了問題。 先介紹一下筆者的相關編碼 ...
  • Spring Boot 2.2 增加了一個新功能，啟動飛起~
    前幾天棧長分享了一個好玩的框架： "一個比Spring Boot快44倍的Java框架！" ，是不是感覺 Spring Boot 略慢？今天講一下 Spring Boot 添加的這個新特性，可以大大提升 Spring Boot 的啟動速度。 最近，Spring團隊宣佈在 Spring Boot 2. ...
  • Dijkstra學習筆記
    ~~暫時空白....~~ 沒有前置，我用vector存圖 cpp //存儲 struct edge{ int w,to;//w是權值，to是連接到的下一條邊 }; vector e; //連邊 ... for(int i=1;i ...
一周排行
    -Advertisement-
    Play Games
  • C# + WPF 音頻播放器 界面優雅，體驗良好
    前言 本文介紹一款使用 C# 與 WPF 開發的音頻播放器，其界面簡潔大方，操作體驗流暢。該播放器支持多種音頻格式（如 MP4、WMA、OGG、FLAC 等），並具備標記、實時歌詞顯示等功能。 另外，還支持換膚及多語言（中英文）切換。核心音頻處理採用 FFmpeg 組件，獲得了廣泛認可，目前 Git ...
  • OAuth2.0授權-gitee授權碼模式
    OAuth2.0授權驗證-gitee授權碼模式 本文主要介紹如何筆者自己是如何使用gitee提供的OAuth2.0協議完成授權驗證並登錄到自己的系統，完整模式如圖 1、創建應用 打開gitee個人中心->第三方應用->創建應用 創建應用後在我的應用界面，查看已創建應用的Client ID和Clien ...
  • FastReport.OpenSource .Net下開源免費報表列印組件
    解決了這個問題：《winForm下，fastReport.net 從.net framework 升級到.net5遇到的錯誤“Operation is not supported on this platform.”》 本文內容轉載自：https://www.fcnsoft.com/Home/Sho ...
  • 如何在 ASP.NET Core Web API 方法執行前後 “偷偷“ 作一些 “壞“ 事？初識 ActionFilterAttribute
    國內文章 WPF 從裸 Win 32 的 WM_Pointer 消息獲取觸摸點繪製筆跡 https://www.cnblogs.com/lindexi/p/18390983 本文將告訴大家如何在 WPF 裡面，接收裸 Win 32 的 WM_Pointer 消息，從消息裡面獲取觸摸點信息，使用觸摸點 ...
  • 在 ASP.NET Core Web API 中使用異常篩選器捕獲和統一處理異常
    前言 給大家推薦一個專為新零售快消行業打造了一套高效的進銷存管理系統。 系統不僅具備強大的庫存管理功能，還集成了高性能的輕量級 POS 解決方案，確保頁面載入速度極快，提供良好的用戶體驗。 項目介紹 Dorisoy.POS 是一款基於 .NET 7 和 Angular 4 開發的新零售快消進銷存管理 ...
  • AbpHelper CLI積累與實戰分享
    ABP CLI常用的代碼分享 一、確保環境配置正確 安裝.NET CLI： ABP CLI是基於.NET Core或.NET 5/6/7等更高版本構建的，因此首先需要在你的開發環境中安裝.NET CLI。這可以通過訪問Microsoft官網下載並安裝相應版本的.NET SDK來實現。 安裝ABP ...
  • 記一次HttpClient使用問題分析
    問題 問題是這樣的：第三方的webapi，需要先調用登陸介面獲取Cookie，訪問其它介面時攜帶Cookie信息。 但使用HttpClient類調用登陸介面，返回的Headers中沒有找到Cookie信息。 分析 首先，使用Postman測試該登陸介面，正常返回Cookie信息，說明是HttpCli ...
  • .NET周刊【9月第3期 2024-09-15】
    國內文章 關於.NET在中國為什麼工資低的分析 https://www.cnblogs.com/thinkingmore/p/18406244 .NET在中國開發者的薪資偏低，主要因市場需求、技術棧選擇和企業文化等因素所致。歷史上，.NET曾因微軟的閉源策略發展受限，儘管後來推出了跨平臺的.NET ...
  • 我的網站集成ElasticSearch初體驗
    在WPF開發應用中，動畫不僅可以引起用戶的註意與興趣，而且還使軟體更加便於使用。前面幾篇文章講解了畫筆（Brush），形狀（Shape），幾何圖形（Geometry），變換（Transform）等相關內容，今天繼續講解動畫相關內容和知識點，僅供學習分享使用，如有不足之處，還請指正。 ...
  • 第23篇 委托的概述
    什麼是委托？ 委托可以說是把一個方法代入另一個方法執行，相當於指向函數的指針；事件就相當於保存委托的數組； 1.實例化委托的方式： 方式1：通過new創建實例： public delegate void ShowDelegate(); 或者 public delegate string ShowDe ...
所有分類