『@CrossOrigin』RestApi POSTについて

Question

Spring boot REST APIを用いて機能を構築しております。
GETは呼び出せる状態なのですが、POSTやPUTがサーバーを呼び出すことが出来ずに躓いております。

呼び出せない原因として『@CrossOrigin』が影響していることは突き止めました。
『@CrossOrigin』を外すことでPOST、PUTが呼び出せることを確認することが出来たためです。
なぜ、設定していると呼び出せないのか分からないためご教授いただければ幸いです。

Talend APIを利用し確認を行っております。

下記の形でsendしております。

http://localhost:8080/api/product/post
HEADERS
Content-Type：application/json

コードは以下になります。

@RestController
@RequestMapping("api")
@CrossOrigin(origins = {"xxx"})
public class RestApi extends HttpServlet {
	@GetMapping("/product/get")
	public JsonEntity getProduct(@RequestParam(name = "id", required = true) Integer id
			) throws IOException {
　　　　　　　　　　～省略～
	}

	@RequestMapping(value="/product/post", method = RequestMethod.POST, consumes = "application/json")
//	@RequestMapping(value="/product/post")
//	@RequestMapping(method = RequestMethod.POST)
//	@PostMapping("/product/post")
//	@ResponseBody
	public JsonEntity postProduct() throws IOException {
　　　　　　　　　　～省略～
	}

}

	@Override
	public void configure(HttpSecurity http) throws Exception{
		http
			.authorizeRequests()
				.antMatchers("/webjars/**").permitAll()
				.antMatchers("/css/**").permitAll()
				.antMatchers("/login").permitAll()
				.antMatchers("/signup").permitAll()
				.antMatchers("/rest/**").permitAll()
				.antMatchers("/api/**").permitAll()
				.antMatchers("/admin").hasAuthority("ROLE_ADMIN")
				.anyRequest().authenticated();

		RequestMatcher csrfMatcher = new RestMatcher("/api/**");

		http.csrf().requireCsrfProtectionMatcher(csrfMatcher);

追記

POST /api/product/post HTTP/1.1
Content-Length: 0
Content-Type: application/json
Host: localhost:8080

HTTP/1.1 403
Vary: Origin
Vary: Access-Control-Request-Method
Vary: Access-Control-Request-Headers
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
X-Frame-Options: DENY
Transfer-Encoding: chunked
Date: Wed, 24 Mar 2021 04:56:33 GMT
Keep-Alive: timeout=60
Connection: keep-alive
[message-body; type: "application/octet-stream", size: 20 bytes]

Comments

[gpsoft]

「POSTやPUTがサーバーを呼び出すことが出来ず」とのことですが、Talend APIで送信するとどうなるのでしょうか? HTTPタブに、リクエストとレスポンスの内容が表示されると思うので、可能なら、それを追記してみていただけますか。

[ding]

HTTPタブ内の情報を追記させていただきました。

Answer 1

なぜ、設定していると呼び出せないのか分からない

403レスポンスが返ってますね。

@CrossOriginアノテーションは、クロスオリジンなAPIリクエストに関する設定を制御するためのものです。
https://docs.spring.io/spring-framework/docs/current/javadoc-api/org/springframework/web/bind/annotation/CrossOrigin.html

@CrossOrigin(origins = {"xxx"})と書くと、「xxxというオリジンからのリクエストしか受け付けない」みたいな意味になります。そのため、Talend API Testerでリクエストを送ると、403エラーが返ります。実験的に、Talend API Testerで、リクエストヘッダにOrigin: xxxを追加してみてください。リクエストが成功すると思います。

APIを開発するときは、どのドメインからのAPI使用を許可したいか、に応じてoriginsの値を決めましょう。@CrossOrigin(origins = {"*"})と書いておけば、「どんなオリジンでも許す」という意味になると思います。

なぜGETのときは成功したのか? とか、疑問も残ると思いますが、詳しくは、CORSについて調べてみてください。

Comments

[ding]

ご回答ありがとうございます。
『Origin: xxx』をリクエストヘッダに追加することで成功しました。
仰る通り疑問は残っていますので、CORSについて調べていこうと思います。

[gpsoft]

「Origin: xxx」は、あくまでも、理解を深めるための実験です。

↓こっちの方を変えるのが普通だと思います。
@CrossOrigin(origins = {"xxx"})

[ding]

なるほど、仰っている意図は何となく分かりました。
そちらで対応出来るよう、また頑張っていきたいと思います。