Поддержка CORS в Spring Framework

Автор Себастьян Делёз в блоге Spring 

По соображениям безопасности браузеры запрещают вызовы AJAX ресурсам, находящимся вне текущего источника. Например, когда вы проверяете свой банковский счет на одной вкладке, у вас может быть сайт evil.com на другой вкладке. Скрипты с сайта evil.com не должны отправлять запросы AJAX на API вашего банка (снятие денег с вашего счета!) С использованием ваших учетных данных.

Распределение ресурсов между источниками  (CORS) — это  спецификация W3C,  реализованная  большинством браузеров,  которая позволяет гибко указывать, какие типы запросов между доменами разрешены, вместо использования менее защищенных и менее мощных хаков, таких как IFrame или JSONP.

Недавно выпущенный  Spring Framework 4.2 RC1  обеспечивает  первоклассную поддержку CORS «  из коробки», предоставляя вам более простой и мощный способ его настройки, чем типичные   решения на основе фильтров .

Spring MVC предоставляет средства конфигурации высокого уровня, описанные ниже.

Контроллер метод настройки CORS

Вы можете добавить к своему  @RequestMapping методу аннотированного обработчика  @CrossOrigin аннотацию, чтобы включить для него CORS (по умолчанию  @CrossOrigin разрешены все источники и методы HTTP, указанные в  @RequestMapping аннотации):

@RestController
@RequestMapping("/account")
public class AccountController {

@CrossOrigin
@RequestMapping("/{id}")
public Account retrieve(@PathVariable Long id) {
// ...
}

@RequestMapping(method = RequestMethod.DELETE, value = "/{id}")
public void remove(@PathVariable Long id) {
// ...
}
}

@CrossOrigin(origin = "http://domain2.com", maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

@RequestMapping("/{id}")
public Account retrieve(@PathVariable Long id) {
// ...
}

@RequestMapping(method = RequestMethod.DELETE, value = "/{id}")
public void remove(@PathVariable Long id) {
// ...
}
}

@CrossOrigin(maxAge = 3600)
@RestController
@RequestMapping("/account")
public class AccountController {

@CrossOrigin(origin = "http://domain2.com")
@RequestMapping("/{id}")
public Account retrieve(@PathVariable Long id) {
// ...
}

@RequestMapping(method = RequestMethod.DELETE, value = "/{id}")
public void remove(@PathVariable Long id) {
// ...
}
}

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {

@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/**");
}
}

@Configuration
@EnableWebMvc
public class WebConfig extends WebMvcConfigurerAdapter {

@Override
public void addCorsMappings(CorsRegistry registry) {
registry.addMapping("/api/**")
.allowedOrigins("http://domain2.com")
.allowedMethods("PUT", "DELETE")
.allowedHeaders("header1", "header2", "header3")
.exposedHeaders("header1", "header2")
.allowCredentials(false).maxAge(3600);
}
}

<mvc:cors>
<mvc:mapping path="/**" />
</mvc:cors>

<mvc:cors>

<mvc:mapping path="/api/**"
allowed-origins="http://domain1.com, http://domain2.com"
allowed-methods="GET, PUT"
allowed-headers="header1, header2, header3"
exposed-headers="header1, header2" allow-credentials="false"
max-age="123" />

<mvc:mapping path="/resources/**"
allowed-origins="http://domain1.com" />

</mvc:cors>