ログイン処理後のリクエストのプレフライトでHTTPエラー403が返ってきてしまいます。

Question

前提・実現したいこと

サーバサイド: Spring Boot
フロントエンド: Angular5
CORSを使って、ログイン後のリクエストのフィルタリングを行おうとしています。
ログイン処理は完了しており、サーバサイドで発行されたトークンをリクエストヘッダに張り付けてリクエストを行おうとしています。
その際、以下の通りエラーが発生してしまいました。解決方法をご教授よろしくお願いします。

発生している問題・エラーメッセージ

リクエストヘッダに
content-type: application/json
x-xsrf-token: [サーバサイドで発行されたトークン]
を加えて送っているため、プレフライトが実行されます。
その際、以下のようなエラーになります。

Failed to load http://localhost:8080/v1/templates: Response for preflight has invalid HTTP status code 403.

該当のソースコード

以下が SecurityConfig のソースです。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        RequestMatcher csrfRequestMatcher = new RequestMatcher() {
            // CSRFのチェックをしないURL
            private AntPathRequestMatcher[] requestMatchers = {
                    new AntPathRequestMatcher("/v1/login/**")
            };

            @Override
            public boolean matches(HttpServletRequest request) {
                for (AntPathRequestMatcher rm : requestMatchers) {
                    if (rm.matches(request)) {
                        return false;
                    }
                }
                return true;
            }
        };

        // ログインしなくてもアクセスできるURL
        http.authorizeRequests()
                .antMatchers("/v1/login")
                .permitAll()
                .anyRequest().authenticated()   //上記にマッチしなければ未認証の場合エラー
                .and()
                .csrf()
                .requireCsrfProtectionMatcher(csrfRequestMatcher)
                .csrfTokenRepository(this.csrfTokenRepository());

        http.logout()
        	.logoutUrl("/v1/logout")
        	.permitAll();
    }


    private CsrfTokenRepository csrfTokenRepository() {
        HttpSessionCsrfTokenRepository repository = new HttpSessionCsrfTokenRepository();
        repository.setHeaderName("X-XSRF-TOKEN");
        return repository;
    }
}

以下がフィルターの設定を行っている Java のソースです。

@Component
public class SimpleCORSFilter implements Filter {

    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        response.addHeader("Access-Control-Allow-Origin", "http://localhost:4200");
        response.addHeader("Access-Control-Allow-Credentials", "true");
        response.addHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.addHeader("Access-Control-Allow-Headers", "Content-Type, Authorization, X-Requested-With, X-XSRF-TOKEN");
        if ("OPTIONS".equals(request.getMethod())) {
            return;
        }
        chain.doFilter(req, res);
    }

    public void init(FilterConfig filterConfig) {}

    public void destroy() {}

}

以下がリクエスト送信部分です。

this.http.get(this.hostname + 'templates', { withCredentials: true, headers: this.headers }).subscribe(
      json => {
        this.templates = json;
      },
      error => {
        console.log(error);
      }
    );

試したこと

• csrf を disable にしました。

エラー内容を見る限り、cors のフィルターと関係ない部分で拒否されていると考え、csrf を disable にしてみましたが、結果に変化はありませんでした。

• Chrome のアプリケーション「ARC」を使って確認しました。

ARCを使ってリクエストを送信したところ、通信に成功しました。ARC を使ったリクエストはプレフライトが行われていないので成功したのだと考えられます。

Answer 1

自己解決できたので、解決方法を記入します。

SecurityConfig.java の最後に

@Override
public void configure(WebSecurity web) throws Exception {
    web.ignoring().antMatchers(HttpMethod.OPTIONS, "/**");
}

を加えることで、OPTIONS メソッドのリクエストを無条件許可することで通すことが出来ました。

Spring Securityの動きが分からない部分が多く、本当にこの対処法が良い対処法なのかもわからないので、もし他にもっと良い方法をご存知の方がいらっしゃれば引き続きご教授よろしくお願いします。