春季启动角2和访问控制允许来源不上服务器

Question

工作，我有一个Spring应用程序启动与RestController，自定义的安全过滤器和角2应用程序从春季服务请求数据。

由于访问控制允许来源发行我有一个过滤器，其设置报头。

如果我叫本地主机也能正常工作：4200为localhost：8080，但它不从本地主机的工作：4200一些IP XX.XX.XX.XX：8080。

所以有人有一个想法？

这里我筛选：

@Component 
public class MyCorsFilter implements Filter { 

    public MyCorsFilter() { 
     System.out.println("init filter corsssss"); 
    } 

    @Override 
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { 

     HttpServletRequest request = (HttpServletRequest) req; 
     HttpServletResponse response = (HttpServletResponse) res; 

     response.setHeader("Access-Control-Allow-Origin", request.getHeader("Origin")); 
     response.setHeader("Access-Control-Allow-Credentials", "true"); 
     response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE"); 
     response.setHeader("Access-Control-Max-Age", "3600"); 
     response.setHeader("Access-Control-Allow-Headers", "Content-Type, Accept, X-Requested-With, remember-me"); 

     chain.doFilter(req, res); 
    } 

    @Override 
    public void init(FilterConfig filterConfig) { 
    } 

    @Override 
    public void destroy() { 
    } 
} 

Answer 1

我有同样的probleme。

在你的控制器试试这个：

@Context 
private HttpServletResponse servletResponse; 

private void allowCrossDomainAccess() { 
    if (servletResponse != null) { 
     servletResponse.setHeader("Access-Control-Allow-Origin", "*"); 
    } 
} 

然后在你的POST/GET了Methode：

@CrossOrigin 
@RequestMapping(value = "/login", method = RequestMethod.POST, consumes = "application/json") 
public boolean loginController(@RequestBody User user) throws JSONException, NoSuchAlgorithmException, UnsupportedEncodingException { 

    allowCrossDomainAccess(); 
    return userService.login(user); 
} 

最好的问候，

Answer 2

这是一项安全功能。相反，让您应该控制任何来源谁可以访问您的内容，在春季的：

@EnableWebSecurity 
public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 
... 
@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http.csrf().csrfTokenRepository(csrfTokenRepository()); 
} 
    ... 
@Bean 
public CsrfTokenRepository csrfTokenRepository() { 
    CookieCsrfTokenRepository repository = new CookieCsrfTokenRepository(); 
    repository.setHeaderName("X-XSRF-TOKEN"); 
    repository.setCookieHttpOnly(false); 
    return repository; 
} 

然后在角度变化的app.module.ts

import { HttpModule, XSRFStrategy, CookieXSRFStrategy } from '@angular/http'; 

export function xsrfFactory() { return new CookieXSRFStrategy('XSRF-TOKEN', 'x-xsrf-token'); } 
... 
    providers: [ 
    ... 
     { provide: XSRFStrategy, useFactory: xsrfFactory }, 
... 

这样你的REST调用将有饼干参数附加。

或者你可以做到这一点 - 我不建议，但如果你不想担心现在这种权利也可能是有用的：

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http.csrf().disable(); 
}