2

Eu consigo obter o TOKEN da minha aplicação, utilizando o PostMan, da seguinte forma.

Isso funciona perfeitamente, e me retornar o Token. inserir a descrição da imagem aqui

Porem quando tento fazer a mesma requisição, utilizando o Axios, na minha aplicação com o Vue@Cli eu recebo o seguinte erro:

inserir a descrição da imagem aqui

Estou montando a requisição Axios desta forma:

   axios({
        url: '/oauth/token',
        method: 'post',
        baseURL: 'http://prog06:8080',
        headers: { 'Authorization': 'Basic bWFzdGVyOjEyMzQ1', 'Content-Type': 'application/x-www-form-urlencoded', 'scope': 'password', },
          data: {
            username: 'user1',
            password: 'user1'
          }
      }).then(result => {
        console.log(result)
      })

Configurações

Basic Estou passando o seguinte valor master:12345 em Base64.

data Estou passando o username e password do usuario.

o Back-end é em Java Spring Boot:

pom.xml

<dependencies>

        <!-- Segurança | Início -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-client</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.security.oauth.boot</groupId>
            <artifactId>spring-security-oauth2-autoconfigure</artifactId>
            <version>2.1.4.RELEASE</version>
        </dependency>       

        <!-- Segurança | Fim -->

SecurityConfig.java

//Edit02

package com.mfac.config;


import java.util.Arrays;
import java.util.Collections;

import org.springframework.context.annotation.Bean;
import org.springframework.http.HttpMethod;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.web.bind.annotation.CrossOrigin;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;



@EnableWebSecurity
@EnableAuthorizationServer
@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true)
@CrossOrigin
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    @Override
    protected AuthenticationManager authenticationManager() throws Exception {
        return super.authenticationManager();
    }

    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()
        .authorizeRequests()
            .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
            .anyRequest().authenticated()
            .and()
                .httpBasic()
            .and()
                .csrf().disable();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

     @Bean
     CorsConfigurationSource corsConfigurationSource(){
            CorsConfiguration configuration = new CorsConfiguration();
            configuration.setAllowedOrigins(Collections.singletonList("*"));
            configuration.setAllowedMethods(Arrays.asList("GET","POST"));
            UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
            source.registerCorsConfiguration("/**", configuration);
            return source;
        }
}


Como posso corrigir esse problema ? pois a requisição para oauth/token pelo postMan funciona, agora com o Axios me retorna o erro de CORS citado a cima.

2 Respostas 2

3

Você tem que liberar o CORS no servidor, existe uma política/configuração nos browsers que quando vai fazer uma requisição envia primeiro um OPTIONS para o servidor para saber o que está liberado, no postman isso não exite desse modo funciona nele e não nos browsers, como você não configurou nenhuma liberação ocorre esse erro ai do console, para liberar isso tem N modos:

Pelo que vi do seu pom vai ser esse modo o mais fácil de implementar

Spring Security:

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()
            //other config
    }
 //Adicionar esse Bean no na sua classe WebSecurityConfigurerAdapter e configurar o que você quer liberar
    @Bean
    CorsConfigurationSource corsConfigurationSource(){
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("https://example.com"));
        configuration.setAllowedMethods(Arrays.asList("GET","POST"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

Em cada class/controller:

@CrossOrigin(origins = "*", allowedHeaders = "*")
@Controller
public class HomeController{
    @GetMapping(path="/")
    public String homeInit(Model model) {
        return "home";
    }
}

Em um método especifico:

@Controller
public class HomeController{
    @CrossOrigin(origins = "*", allowedHeaders = "*")
    @GetMapping(path="/")
    public String homeInit(Model model) {
        return "home";
    }
}

Sobreescrevendo no metodo:

@Controller
@CrossOrigin(origins = "*", allowedHeaders = "*")
public class HomeController{
    @CrossOrigin(origins = "http://example.com")
    @GetMapping(path="/")
    public String homeInit(Model model) {
        return "home";
    }
}

Globalmente com WebMvcConfigurerAdapter:

@Configuration
@EnableWebMvc
public class CorsConfiguration extends WebMvcConfigurerAdapter{
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedMethods("GET", "POST");
    }
}

Globalmente com WebMvcConfigurer:

@Configuration
public class CorsConfiguration{
    @Bean
    public WebMvcConfigurer corsConfigurer()
    {
        return new WebMvcConfigurerAdapter() {
            @Override
            public void addCorsMappings(CorsRegistry registry) {
                registry.addMapping("/**");
            }
        };
    }
}

Usando um filter

@Component
@Order(Ordered.HIGHEST_PRECEDENCE)
public class SimpleCORSFilter implements Filter {

    @Override
    public void init(FilterConfig fc) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) resp;
        HttpServletRequest request = (HttpServletRequest) req;
        response.setHeader("Access-Control-Allow-Origin", "*");
        response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE, PATCH");
        response.setHeader("Access-Control-Max-Age", "3600");
        response.setHeader("Access-Control-Allow-Headers", "x-requested-with, authorization, Content-Type, Authorization, credential, X-XSRF-TOKEN, ");

        if ("OPTIONS".equalsIgnoreCase(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            chain.doFilter(req, resp);
        }

    }

    @Override
    public void destroy() {
    }
}

Retirado e adaptado de: https://howtodoinjava.com/spring5/webmvc/spring-mvc-cors-configuration/

5
  • Fiz as alterações, porem mesmo assim tenho o mesmo erro. Mas nao sei se fiz corretamente, pois fiquei com duvida, no que colocar aqui ``` configuration.setAllowedOrigins(Arrays.asList("prog05:8080"));``` no caso pro05 é a maquina onde esta sendo feita a requisição pelo Front End utilizando o Axios
    – Dup
    Commented 6/06/2019 às 19:36
  • Quando mexo com essas coisas costumo liberar tudo e ir fechando os poucos, me parece mais fácil assim, então eu colocaria configuration.setAllowedOrigins(Collections.singletonList("*")); mas se quiser liberar só esse pc se não me engano tem que ser assim configuration.setAllowedOrigins(Arrays.asList("prog05","http://www.prog05"))
    – rnd_rss
    Commented 7/06/2019 às 0:18
  • Fiz a alteração no código como sugerido e atualizei a pergunta para liberar tudo apenas para testes, porem estou recebendo exatamente o mesmo erro. Tem alguma possibilidade de estar sendo montado de forma errada o request no Axios ?
    – Dup
    Commented 7/06/2019 às 11:17
  • Não é problema com o axios, nem está chegando ainda na sua chamada, se você abrir o developer tools e ver a aba network você vai ver que primeiro o browser faz uma chamada OPTIONS para ver o que tem liberado, e só depois faz a sua chamada, no caso está dando problema no options. Vi agora na minha aplicação e tem um filter que trata o cors, tente adicionar ele na sua aplicação
    – rnd_rss
    Commented 7/06/2019 às 12:21
  • Coloquei o Filter mas mesmo assim não deu certo, oque eu acho engraçado é que se deixar essas duas anotações EnableResourceServer EnableAuthorizationServer. o Servidor me retornar 401 OPTIONS e se remover elas me retornar OPTIONS 404. Na documentação do SPRING segue link baeldung.com/spring-security-cors-preflight é informado que se utilizar ** http.cors();** o SPRING utilizaria uma solução pronta para OPTIONS, então fica minha duvida, sera que quando uso as anotações EnableResourceServer e EnableAuthorizationServer ele sobrescreve as configurações do http.cors ?
    – Dup
    Commented 7/06/2019 às 13:49
0

Conforme respondi de forma mais detalhada nesta resposta para o @Dup, acredito que a configuração do filtro seja desnecessária, visto que o Spring Boot já provê recursos para tratar CORS.

Para realizar a alteração dos headers, isto pode ser feito utilizando a seguinte configuração:

@Configuration
public class CorsConfig {
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        final CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(Arrays.asList("*"));
        config.setAllowedMethods(Arrays.asList("*"));
        config.setAllowCredentials(true);
        config.setAllowedHeaders(Arrays.asList("Authorization", "Cache-Control", "Content-Type"));

        final UrlBasedCorsConfigurationSource configSource = new UrlBasedCorsConfigurationSource();
        configSource.registerCorsConfiguration("/**", config);

        return configSource;
    }
}

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .