CorsConfig.java
1.71 KB
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
package com.xly.config;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;
/**
* CORS：**origin 白名单**（可配置 {@code xly.cors.allowed-origins}，逗号分隔，支持通配段）。
*
* <p>不再对所有域名放行——通配 + allowCredentials 意味着浏览器里任意网页都能跨域驱动本服务
* （本地 dev-login 开启时无凭证即可入队 ERP 写操作）。生产走 nginx 同源代理本就不需要 CORS；
* 出现合法跨域消费方时把它的 origin 加进配置即可。
*/
@Configuration
public class CorsConfig {
/** 默认只放行本机开发场景的 origin。 */
@Value("${xly.cors.allowed-origins:http://localhost:*,http://127.0.0.1:*,http://host.docker.internal:*}")
private String allowedOrigins;
@Bean
public CorsFilter corsFilter() {
CorsConfiguration config = new CorsConfiguration();
for (String o : allowedOrigins.split(",")) {
String t = o.trim();
if (!t.isEmpty()) {
config.addAllowedOriginPattern(t);
}
}
config.addAllowedMethod("*");
config.addAllowedHeader("*");
config.setAllowCredentials(true);
config.addExposedHeader("*");
config.setMaxAge(3600L);
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", config);
return new CorsFilter(source);
}
}