CORS
Spring Framework は、CORS のファーストクラスサポートを提供します。プリフライトリクエストには Cookie(つまり JSESSIONID
)が含まれないため、CORS は Spring Security の前に処理する必要があります。リクエストに Cookie が含まれておらず、Spring Security が最初の場合、リクエストは(リクエストに Cookie がないため)ユーザーが認証されていないと判断し、拒否します。
CORS が最初に処理されるようにする最も簡単な方法は、CorsWebFilter
を使用することです。ユーザーは、CorsConfigurationSource
を提供することにより、CorsWebFilter
を Spring Security と統合できます。例: 以下は、Spring Security 内に CORS サポートを統合します。
Java
Kotlin
@Bean
UrlBasedCorsConfigurationSource corsConfigurationSource() {
CorsConfiguration configuration = new CorsConfiguration();
configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
configuration.setAllowedMethods(Arrays.asList("GET","POST"));
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
source.registerCorsConfiguration("/**", configuration);
return source;
}
@Bean
fun corsConfigurationSource(): UrlBasedCorsConfigurationSource {
val configuration = CorsConfiguration()
configuration.allowedOrigins = listOf("https://example.com")
configuration.allowedMethods = listOf("GET", "POST")
val source = UrlBasedCorsConfigurationSource()
source.registerCorsConfiguration("/**", configuration)
return source
}
以下は、Spring Security 内の CORS 統合を無効にします。
Java
Kotlin
@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.cors(cors -> cors.disable());
return http.build();
}
@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
cors {
disable()
}
}
}