解決跨域請(qǐng)求,NG返回403(403并不一定是NG問(wèn)題)

更新時(shí)間：2023年12月26日 09:30:28 作者：zero

這篇文章主要介紹了解決跨域請(qǐng)求,NG返回403(403并不一定是NG問(wèn)題),具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教

先說(shuō)問(wèn)題怎么解決的

1.ng返回403的情況也就那么幾種，百度一下都能找到，但是ng返回403不一定是ng的問(wèn)題。

2.最終發(fā)現(xiàn)是在網(wǎng)關(guān)跨域配置中，沒(méi)有加上請(qǐng)求方的域名。

3.想探索的可以看看文章

背景

和合作方對(duì)接，我們這邊的app開(kāi)發(fā)完放在合作方的服務(wù)器上，再通過(guò)NG，請(qǐng)求我這邊的后臺(tái)。

NG配置跨域等信息后(這個(gè)很容易找，百度隨便都能找到)，發(fā)現(xiàn)測(cè)試環(huán)境一切正常，但是到了生產(chǎn)，NG一直返回403。

請(qǐng)求都沒(méi)通過(guò)，網(wǎng)關(guān)zuul沒(méi)有日志。雙方開(kāi)始排查NG，百度了無(wú)數(shù)次。

最后都配置與測(cè)試環(huán)境一直，但是生產(chǎn)一直不通。

返回403，加上zuul沒(méi)日志，一直定位在NG跨域的問(wèn)題上。

解決

最后發(fā)現(xiàn)是zuul項(xiàng)目的問(wèn)題，SpringBoot跨域問(wèn)題。

嘗試排查是否zuul的問(wèn)題，對(duì)比了測(cè)試環(huán)境和生產(chǎn)的。

測(cè)試環(huán)境zuul的跨域配置CorsConfiguration類屬性allowedOrigins賦值了個(gè)*，生產(chǎn)是針對(duì)地址進(jìn)行配置的。

其實(shí)就是SpringBoot的跨域配置，源碼CorsConfiguration的allowedOrigins屬性沒(méi)有加上第三方的域名地址。

導(dǎo)致直接被拒絕了。加上合作方地址，問(wèn)題解決。

源碼解析

在配置跨域問(wèn)題時(shí)，我們需要對(duì)CorsConfiguration屬性賦值

//對(duì)CorsConfiguration屬性賦值
private CorsConfiguration corsConfig(Map.Entry<String, JawsCorsConfig> entry) {
    CorsConfiguration corsConfiguration = new CorsConfiguration();
    corsConfiguration.setAllowedOrigins(Splitter.on(",").splitToList(entry.getValue().getAllowedOrigins()));
    corsConfiguration.setAllowedHeaders(Splitter.on(",").splitToList(entry.getValue().getAllowedHeaders()));
    corsConfiguration.setAllowedMethods(Splitter.on(",").splitToList(entry.getValue().getAllowedMethods()));
    corsConfiguration.setAllowCredentials(entry.getValue().getAllowCredentials());
    corsConfiguration.setMaxAge(entry.getValue().getMaxAge());
    return corsConfiguration;
}

@Bean
    public CorsFilter corsFilter() {
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    for (Map.Entry<String, JawsCorsConfig> entry : jawsZuulProperites.getCors().entrySet()) {
        source.registerCorsConfiguration(entry.getValue().getUrls(), corsConfig(entry));
    }
    return new CorsFilter(source);
}

源碼中 org.springframework.web.cors.DefaultCorsProcessor#handleInternal 方法

protected boolean handleInternal(ServerHttpRequest request, ServerHttpResponse response,
			CorsConfiguration config, boolean preFlightRequest) throws IOException {

		String requestOrigin = request.getHeaders().getOrigin();
		String allowOrigin = checkOrigin(config, requestOrigin);

		HttpMethod requestMethod = getMethodToUse(request, preFlightRequest);
		List<HttpMethod> allowMethods = checkMethods(config, requestMethod);

		List<String> requestHeaders = getHeadersToUse(request, preFlightRequest);
		List<String> allowHeaders = checkHeaders(config, requestHeaders);

		if (allowOrigin == null || allowMethods == null || (preFlightRequest && allowHeaders == null)) {
			rejectRequest(response);
			return false;
		}

		HttpHeaders responseHeaders = response.getHeaders();
		responseHeaders.setAccessControlAllowOrigin(allowOrigin);
		responseHeaders.add(HttpHeaders.VARY, HttpHeaders.ORIGIN);

		if (preFlightRequest) {
			responseHeaders.setAccessControlAllowMethods(allowMethods);
		}

		if (preFlightRequest && !allowHeaders.isEmpty()) {
			responseHeaders.setAccessControlAllowHeaders(allowHeaders);
		}

		if (!CollectionUtils.isEmpty(config.getExposedHeaders())) {
			responseHeaders.setAccessControlExposeHeaders(config.getExposedHeaders());
		}

		if (Boolean.TRUE.equals(config.getAllowCredentials())) {
			responseHeaders.setAccessControlAllowCredentials(true);
		}

		if (preFlightRequest && config.getMaxAge() != null) {
			responseHeaders.setAccessControlMaxAge(config.getMaxAge());
		}

		response.flush();
		return true;
	}

進(jìn)入checkOrigin(config, requestOrigin);校驗(yàn)請(qǐng)求來(lái)源

	public static final String ALL = "*";
	/**
	 * Check the origin of the request against the configured allowed origins.
	 * @param requestOrigin the origin to check
	 * @return the origin to use for the response, or {@code null} which
	 * means the request origin is not allowed
	 */
	public String checkOrigin(String requestOrigin) {
		if (!StringUtils.hasText(requestOrigin)) {
			return null;
		}
		if (ObjectUtils.isEmpty(this.allowedOrigins)) {
			return null;
		}

		if (this.allowedOrigins.contains(ALL)) {
			if (this.allowCredentials != Boolean.TRUE) {
				return ALL;
			}
			else {
				return requestOrigin;
			}
		}
//遍歷我們賦值的allowedOrigins，判斷請(qǐng)求來(lái)源是否包含，包含則返回
		for (String allowedOrigin : this.allowedOrigins) {
			if (requestOrigin.equalsIgnoreCase(allowedOrigin)) {
				return requestOrigin;
			}
		}
return null;
}