使用CORS解决跨域问题
跨域是指跨域名的访问，以下情况都属于跨域：
如果 域名和端口都相同，但是请求路径不同 ，不属于跨域，如：
www.jd.com/item
www.jd.com/goods
跨域不一定会有跨域问题。
因为跨域问题是浏览器对于ajax请求的一种安全限制： 一个页面发起的ajax请求，只能是于当前页同域名的路径 ，这能有效的阻止跨站攻击。
因此： 跨域问题 是针对ajax的一种限制 。
但是这却给我们的开发带来了不变，而且在实际生成环境中，肯定会有很多台服务器之间交互，地址和端口都可能不同，怎么办？
目前比较常用的跨域解决方案有3种：
我们这里会采用cors的跨域方案。
CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。
它允许浏览器向跨源服务器，发出 XMLHttpRequest 请求，从而克服了AJAX只能 同源 使用的限制。
CORS需要浏览器和服务器同时支持。目前，所有浏览器都支持该功能，IE浏览器不能低于IE10。
浏览器会将ajax请求分为两类，其处理方案略有差异：简单请求、特殊请求。
只要同时满足以下两大条件，就属于简单请求。：
（1) 请求方法是以下三种方法之一：
（2）HTTP的头信息不超出以下几种字段：
当浏览器发现发现的ajax请求是简单请求时，会在请求头中携带一个字段： Origin .
Origin中会指出当前请求属于哪个域（协议+域名+端口）。服务会根据这个值决定是否允许其跨域。
如果服务器允许跨域，需要在返回的响应头中携带下面信息：
注意：
如果跨域请求要想操作cookie，需要满足3个条件：
不符合简单请求的条件，会被浏览器判定为特殊请求,，例如请求方式为PUT。
特殊请求会在正式通信之前，增加一次HTTP查询请求，称为"预检"请求（preflight）。
浏览器先询问服务器，当前网页所在的域名是否在服务器的许可名单之中，以及可以使用哪些HTTP动词和头信息字段。只有得到肯定答复，浏览器才会发出正式的 XMLHttpRequest 请求，否则就报错。
一个“预检”请求的样板：
与简单请求相比，除了Origin以外，多了两个头：
服务的收到预检请求，如果许可跨域，会发出响应：
除了 Access-Control-Allow-Origin 和 Access-Control-Allow-Credentials 以外，这里又额外多出3个头：
如果浏览器得到上述响应，则认定为可以跨域，后续就跟简单请求的处理是一样的了。
虽然原理比较复杂，但是前面说过：
事实上，SpringMVC已经帮我们写好了CORS的跨域过滤器：CorsFilter ,内部已经实现了刚才所讲的判定逻辑，我们直接用就好了。
在 Application 下编写一个配置类，并且注册CorsFilter：
结构：
放到Application下即可。
4.5.4.重启测试：
访问正常：
CORS
CORS全称为 Cross-Origin Resource Sharing;被译为跨域资源共享，新增了一组HTTP 首部字段，允许服务器声明哪些源站有权限访问哪些资源。跨域资源共享标准规范要求：对那些可能对服务器数据产生副作用的HTTP请求方法(特别是GET以外的HTTP请求，或者搭配某些MIME类型的POST请求)，浏览器必须首先使用OPTIONS 方法发起一个预检请求，从而获知服务端是否允许该跨域请求。服务器确认允许之后，才发起实际的HTTP 请求。在预检请求的返回中，服务器端也可以通知客户端，是否需要携带身份凭证。
跨域资源共享机制的工作原理主要应用于三个场景:
1.简单请求
请求满足所有下述条件，则该请求可视为“简单请求”。
使用下列请求方法之一： GET、HEAD 或 POST
不得人为设置下列集合之外的其他首部字段: Accept、 Accept-Language、 Content-Language.Content-Type。
Content-Type 的值仅限于下列三者之-: text/plain、multipart/form-data、application/x-www-form-urlencoded
2.预检请求
当请求满足下述任一条件时，即应首先发送预检请求：
使用下列请求方法之一：PUT、DELETE、CONNECT、OPTIONS、TRACE 或 PATH
请求头中包含自定义头部字段
向服务器发送了 application/json 格式的数据
在浏览器与服务器正式请求之前，浏览器会先发送 OPTION 请求进行预检，以获知服务器是否允许该实际请求，所以这一次的 OPTION 请求称为“预检请求”。服务器成功响应预检请求后，才会发送真正的请求，并且携带真实数据。
3.认证请求
CORS具有一个有趣的特性是，可以基于 HTTP Cookies 和 HTTP 认证信息发送身份凭证。一般而言，对于跨域XMLHttpRequest请求，浏览器不会发送身份凭证信息。如果要发送凭证信息，需要设置XMLHttpRequest的某个特殊标志位。
xmlHttpRequest.withCredentials = true;
将XMLHttpRequest 的 withCredentials 标志设置为 true，使得向服务器发送 Cookies，服务器返回响应首部字段 Access-Control-Allow-Credentials: true。
如果服务器端的响应中未携带 Access-Control-Allow-Credentials: true，浏览器将不会把响应内容返回给请求的发送者。
