spring security与corsFilter冲突的解决方案

对于Spring Security和CORS（跨来源资源共享）Filter的异军突起，可能是由于两者在处理跨域请求的方式不同而导致的。Spring Security需要进行身份验证和授权，而CORS Filter是一个基于Web的安全工具，它帮助Web应用程序实现跨域请求。这两者之间的冲突可能会导致无法登录或提供受限制的访问。

下面是解决此问题的步骤：

1. Spring Security配置

在Spring Security的配置中，允许通过的请求需要通过一定的配置来实现。如果请求不被Spring Security所允许，那么CORS将永远无法生效。主要的两个配置选项是：

• permitAll() —— 允许所有人访问该请求的路径，这还包括未经身份验证的用户。
• authenticated() —— 该请求只允许经过身份验证的用户访问。

示例：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers(HttpMethod.OPTIONS).permitAll()
            .antMatchers("/api/**").authenticated()
            .and()
        .csrf()
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
}

在上述示例中，HttpMethod.OPTIONS被允许并且所有的/api/**访问需要身份验证。

2. 添加CORS Filter

由于Spring Security限制了URL的访问，因此在CORS Filter中也需要进行规则匹配。CorsFilter拦截器过滤器必须在Spring Security过滤器之前添加是因为CORS Filter需要在Spring Security保护之前检查请求。

示例：

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        final CorsConfiguration config = new CorsConfiguration();
        // 允许所有来源地址
        config.setAllowedOrigins(Arrays.asList("*"));
        // 允许所有HTTP方法
        config.setAllowedMethods(Arrays.asList("*"));
        // 允许所有头部信息
        config.setAllowedHeaders(Arrays.asList("*"));
        // 允许Cookie传输
        config.setAllowCredentials(true);
        // 进行跨域辅助请求的缓存时间
        config.setMaxAge(1800L);
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

在上述示例中，CORS Filter允许来自所有来源地址的请求，这将与Spring Security的配置相结合，允许所有带有身份验证的请求，并且允许在跨域请求中传输Cookie。

通过这两条示例，我们可以看到Spring Security和CORS Filter的正确整合方式。在大多数情况下，只有在没有正确配置时才会出现这种冲突。因此，也要确保Spring Security和CORS Filter的正确配置。