前后端分離下的跨域CAS請求

Tony_Zby 發(fā)布于2019-08-22 15:09 / 2024人閱讀

摘要：最重要的兩點(diǎn)請求跨域的時(shí)候，默認(rèn)不會攜帶。通常是這樣的前端發(fā)起，后端接受請求并執(zhí)行，前端接受相應(yīng)并發(fā)起，請求重定向后的頁面，其中不存在跨域問題。

最重要的兩點(diǎn)：

ajax請求跨域的時(shí)候，默認(rèn)不會攜帶cookie。

請求分為普通請求（HttpRequest）和Ajax請求（XMLHttpRequest）

先屢一下跨域CAS認(rèn)證的流程：

前端發(fā)起ajax請求，請求首先被跨域Filter過濾，加上Access-Control-Allow-Origin , 然后再被CASFilter過濾，此時(shí)沒有登錄的用戶會被重定向到cas.host.cn/login進(jìn)行登錄，最最最關(guān)鍵的地方就在這里。

通常是這樣的：前端發(fā)起HttpRequest，后端接受請求并執(zhí)行res.sendRedirect()，前端接受相應(yīng)并發(fā)起HttpRequest，請求重定向后的頁面，其中HttpRequest不存在跨域問題。
但是現(xiàn)在是這樣的：前端發(fā)起XMLHttpRequest, 后端接受請求并執(zhí)行res.sendRedirect()，前端接受相應(yīng)并發(fā)起XMLHttpRequest，請求重定向后的頁面，但是，由于cas.host.cn/login沒有配置跨域（安全上也不允許），所以產(chǎn)生了跨域！

解決思路：

思路就是把XMLHttpRequest替換為HttpRequest

方案：

@Path("admin/auth")
public class AuthController {
 
    private static Properties prop = new Properties();
    static {
        InputStream in = CORSFilter.class.getClassLoader().getResourceAsStream("dev.properties");
        try {
            prop.load(in);
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
 
    @Get("validate")
    public String validate(Invocation inv) throws JSONException {
        HttpServletRequest request =  inv.getRequest();
        Assertion assertion = (Assertion) request.getSession().getAttribute("_const_cas_assertion_");
        JSONObject result = new JSONObject();
        if (assertion == null || assertion.getPrincipal().getName() == null) {
            result.put("success",false);
            result.put("data", prop.getProperty("cas.server.url") + "/login?service=" + prop.getProperty("server.url") + "/thoth-admin/admin/auth/redirect");
        } else {
            result.put("success", true);
        }
        return "@json:" + result.toString();
    }
 
    @Get("redirect")
    public void redirect(Invocation inv) throws IOException {
        inv.getResponse().sendRedirect(prop.getProperty("server.url")+"/thoth-admin/admin");
    }
}

用戶每次發(fā)起ajax請求之前，先請求validate接口，檢驗(yàn)當(dāng)前用戶的cookie是否失效，如果沒有，就返回{success: true}，前端則繼續(xù)發(fā)送接下來的ajax請求。

如果失效了，就返回一個(gè)字符串，內(nèi)容是將要跳轉(zhuǎn)的cas驗(yàn)證地址，前端則手動(dòng)通過location.href = "這個(gè)地址"來進(jìn)行HttpRequest。cas登錄成功后，會再次重定向，重定向的地址是service=后面的地址。

另外，需要注意的一點(diǎn)是跨域Filter優(yōu)先級必須要高于CASFIlter，否則請求會先被CASFilter過濾，沒有登錄過得用戶會被302跳轉(zhuǎn)到cas.mioffice.cn/login, 但是事實(shí)是你連跳轉(zhuǎn)的機(jī)會都沒有就會被瀏覽器告知你跨域了。
因?yàn)槟愕恼埱筮€沒有被跨域Filter過濾，此時(shí)響應(yīng)頭里還沒有Access-Control-Allow-Origin。