Question

我有一个使用SpringBoot开发的REST api，它包含用于身份验证和授权的JWT实现。 FilterRegistrationBean用于此目的。

我有一个名为JwtFilter的类，它扩展了GenericFilterBean。在那里，我查找请求标头的内容，以便授权用户。

public class JwtFilter extends GenericFilterBean{

    @Override
    public void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain) throws IOException, ServletException {

        System.out.println("INSIDE JWT FILTER");

        final HttpServletRequest request = (HttpServletRequest) req;

        final String authHeader = request.getHeader("Authorization");
        String reqHdr = request.getHeader("X-Requested-By");
        String myHdr = request.getHeader("myheader");

        System.out.println("Auth header = "+authHeader);
        System.out.println("requested by header = "+reqHdr);
        System.out.println("my header = "+myHdr);


        if (authHeader == null || !authHeader.startsWith("Bearer ")) {
            System.out.println("JwtFilter.doFilter -> auth header is null or token does not start with Bearer");
            throw new ServletException("Missing or invalid Authorization header.");
        }

        final String token = authHeader.substring(7); // The part after "Bearer "

        try {
            final Claims claims = Jwts.parser().setSigningKey("secretkey").parseClaimsJws(token).getBody();
            request.setAttribute("claims", claims);
        }
        catch (final SignatureException e) {
            System.out.println("VIRGLK EXCEPTION : JwtFilter.doFilter -> Signature Exception, invalid token = "+e.getMessage());
            throw new ServletException("Invalid token.");
        }

        chain.doFilter(req, res);
    }

}

我可以确保动态设置标头可以正常工作，因为我测试了一些其他HTTP请求到同一服务器，这些请求没有经过网址过滤（登录请求）。

但是，当涉及由上面的类过滤的请求时，我看到请求的每个头都是null。

以下是我如何在Angular2中的请求中添加标头。我已经扩展了BaserequestOptions类并重写了merge方法，以便动态添加标头。

@Injectable()
export class CustomRequestOptions extends BaseRequestOptions {
    constructor(private _globals: Globals) {
        super();
        this.headers.set('Content-Type', 'application/json');
        this.headers.set('X-Requested-By', 'Angular 2');
    }

    merge(options?: RequestOptionsArgs): RequestOptions {
        var newOptions = super.merge(options);
        let hdr = this._globals.getAuthorization();
        newOptions.headers.set("Authorization", hdr);
        newOptions.headers.set("myheader", "my header value");
        return newOptions;
    }

}

但是，在API中检查过滤的请求时，这些标头为空。如上所述，未过滤的请求没有问题。静态附加（'X-Requested-By'）和动态附加（'myheader'）标头，并在服务器中可用。

我无法理解这里发生了什么。至少，我不知道，从哪一方来说，错误来自于此。

以下是从浏览器控制台为失败的请求复制的请求标头。

OPTIONS /protected/get-roles/USER HTTP/1.1
Host: 127.0.0.1:8080
Connection: keep-alive
Access-Control-Request-Method: GET
Origin: http://localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36
Access-Control-Request-Headers: authorization,content-type,myheader,x-requested-by
Accept: */*

有人能指出我这里可能存在的问题。我很无能为力。

修改

我猜这个问题来自服务器，原因如下。

我能够成功检索请求的所有标头值，这是在设置了授权标头并且该请求不是过滤后的请求时完成的。因此我想，JWT Filter实现有问题。

这可能是一个愚蠢的问题，但是，是否是由于我发送的请求不属于ServletRequest类型的原因？ doFilter中的JwtFilter方法接受ServletRequest。

的参数

Answer 1

我想过写一个我在这里找到答案的解决方案，因为它可能会对将来有所帮助。感谢JB Nizet的评论。他向我展示了问题所在。

这是CORS的一个问题。在发送实际GET请求（在我的情况下）之前，浏览器发送了一个飞行前请求。正如@JB Nizet指出的那样，我改变了我的代码，参考了以下链接的答案。

Cross-Origin Resource Sharing with Spring Security

Header in the response must not be the wildcard '*' when the request's credentials mode is 'include'

我的JwtFilter现在看起来像这样

public class JwtFilter extends GenericFilterBean{

    private final List<String> allowedOrigins = Arrays.asList("http://localhost:3000");

    @Override
    public void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain) throws IOException, ServletException {

        System.out.println("INSIDE JWT FILTER");

        final HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;


        // Access-Control-Allow-Origin
        String origin = request.getHeader("Origin");
        response.setHeader("Access-Control-Allow-Origin", allowedOrigins.contains(origin) ? origin : "");
        response.setHeader("Vary", "Origin");

        // Access-Control-Max-Age
        response.setHeader("Access-Control-Max-Age", "3600");

        // Access-Control-Allow-Credentials
        response.setHeader("Access-Control-Allow-Credentials", "true");

        // Access-Control-Allow-Methods
        response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE");

        // Access-Control-Allow-Headers
        response.setHeader("Access-Control-Allow-Headers",
                "Origin, Authorization, myheader, X-Requested-By, X-Requested-With, Content-Type, Accept, " + "X-CSRF-TOKEN");

        if (request.getMethod().equals("OPTIONS")) {
            response.flushBuffer();
        }else{

            final String authHeader = request.getHeader("Authorization");
            String reqHdr = request.getHeader("X-Requested-By");
            String myHdr = request.getHeader("myheader");

            System.out.println("=====================================================");
            System.out.println("Auth header = "+authHeader);
            System.out.println("requested by header = "+reqHdr);
            System.out.println("my header = "+myHdr);
            System.out.println("=====================================================");

            if (authHeader == null || !authHeader.startsWith("Bearer ")) {
                System.out.println("JwtFilter.doFilter -> auth header is null or token does not start with Bearer");
                throw new ServletException("Missing or invalid Authorization header.");
            }

            final String token = authHeader.substring(7); // The part after "Bearer "

            try {
                final Claims claims = Jwts.parser().setSigningKey("secretkey").parseClaimsJws(token).getBody();
                request.setAttribute("claims", claims);
            }
            catch (final SignatureException e) {
                System.out.println("JwtFilter.doFilter -> Signature Exception, invalid token = "+e.getMessage());
                throw new ServletException("Invalid token.");
            }

            chain.doFilter(req, res);

        }


    }

}

快乐的编码！

Answer 2

我以前多次见过这个问题。这里的关键是Access-Control-Allow-Headers http标头。所以，CORS，如果您的客户端和服务器尝试交换的标头未列出，这可能会让您感到困惑。浏览器中的网络选项卡甚至可以在响应和请求实体中显示标题，但应用层无法访问它。

您是否将Spring Boot用于应用程序服务器？如果是这样，那么WebSecurity的配置方式就会有一些神奇之处。通过HttpSecurity专门扩展和配置WebSecurityConfigurerAdapter将有助于处理所有HTTP动词上的CORS标头，例如OPTION，POST，GET等。

请查看https://developer.mozilla.org/en-US/docs/Web/HTTP/Access_control_CORS#Access-Control-Allow-Headers有关标头值应该是什么的示例，基本上只是逗号分隔的标头键列表。

NULL http标头从Angular2应用程序传递到服务器

2 个答案: