Java 在 HttpServletRequest 中获取 TRUE 来源

Question

我正在构建启用了 CORS 的 rest API。由于必须从已知域访问 API，因此我必须检查请求来源是否在“白名单”域中。

但我必须 100% 确定，请求的来源确实是来源，而不是修改过的 header 。

我找到了这个链接: https://developer.mozilla.org/en-US/docs/Glossary/Forbidden_header_name

关于禁止的 header 名称，所以我想问这个信息是否可以，没有人可以更改 header 来源？

我正在像这样访问 Java 中的请求:

(HttpServletRequest) request.getHeader("origin")

我是这样做的吗？

Answer 1

Spring 具有出色的开箱即用支持，可以通过 xml 或 java 配置来处理跨源请求。

此外，配置可以是全局的(通过CorsRegistry)或特定于 Controller 的(@CrossOrigin)精细控制

看看here和 here其中详细介绍了如何开始及其工作原理。