3 CORS支持

3.1 介绍

出于安全考虑，浏览器禁止对当前源之外的资源进行AJAX调用。例如，当你在一个标签页检查你的银行账户时，你可以在另一个标签页打开evil.com的网站。在evil.com中的脚本不能使用你的凭据来通过AJAX请求访问你的银行API（例如，从你的银行取款！）。

跨域资源共享（Cross-origin resource sharing）（CORS）是W3C的标准，大部分的浏览器都实现了这个标准来让你可以灵活地指定什么样的跨域请求是被授权的，而不用使用IFRAME或JSONP这些不太安全和功能不强的黑客技术。

从Spring Framework 4.2起，CORS就支持开箱即用。CORS请求（包括一个预检请求OPTIONS方法）自动分发到各个注册的HandlerMapping中。由于CorsProcessor的实现（默认是DefaultCorsProcessor），它们处理CORS预检请求，并拦截CORS的简单而实际请求，以便根据你提供的CORS配置添加相关的CORS响应头（如Access-Control-Allow-Origin）。

网友评论