Spring API von Webapp und mobile App

Question

Ich habe eine Webapplikation entwickelt mit Angular 2 und eine Rest-API mit Springboot entwickelt.

Mme Michu ---> WebApp (Angular 2 - Known origin) ---> API (Springboot CORS) 

Ich konfigurierte CORS zwischen der Webanwendung und der API und es funktioniert gut.

Hier ist, wie mein CORSFilter

implementiert

@Order(Ordered.HIGHEST_PRECEDENCE) 
public class SimpleCORSFilter implements Filter{ 

public SimpleCORSFilter() { 
    super(); 
} 

@Autowired 
private Environment environment; 

private String[] acao; 

@Override 
public final void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain) throws IOException, ServletException { 

    acao = environment.getProperty("access-control-allow-origin").split(","); 

    final HttpServletResponse response = (HttpServletResponse) res; 
    final HttpServletRequest request = (HttpServletRequest) req; 

    String origin = request.getHeader("Origin"); 

    response.setHeader("Access-Control-Allow-Origin", Arrays.asList(acao).contains(origin)?origin:""); 

    // without this header jquery.ajax calls returns 401 even after successful login and SSESSIONID being succesfully stored. 
    response.setHeader("Access-Control-Allow-Credentials", "true"); 

    response.setHeader("Access-Control-Allow-Methods", "POST, PUT, GET, OPTIONS, DELETE"); 
    response.setHeader("Access-Control-Max-Age", "3600"); 
    response.setHeader("Access-Control-Allow-Headers", "X-Requested-With, Authorization, Origin, Content-Type, Version"); 
    response.setHeader("Access-Control-Expose-Headers", "X-Requested-With, Authorization, Origin, Content-Type"); 


    if(!request.getMethod().equals("OPTIONS")) { 
     chain.doFilter(request, response); 
    } 
} 

@Override 
public void destroy() { 

} 

@Override 
public void init(FilterConfig filterConfig) throws ServletException { 
    acao = environment.getProperty("access-control-allow-origin").split(","); 
} 

}

Das Problem ist, dass ich eine neue mobile Anwendung benötigen (mit ionischen entwickelt) mit der API zu interagieren.

Blockiert die CORS-Richtlinie die Anfrage von der mobilen App? Wie kann ich Anfragen von der mobilen Anwendung autorisieren, da ich die Herkunft der mobilen App nicht kennen kann?

Jede Beratung ist willkommen ...

Answer 1

Der Ursprung ist die Domäne die Anforderung an die api Ausgabe, wenn Domain Ihre Webapp der example.com ist, werden die Anfragen haben example.com als Ursprung. Wenn eine Ressource aufgrund des Ursprungs blockiert wird, blockiert ein Client-seitiger Sicherheitsmechanismus die Antwort (der Server ist sich dessen nicht bewusst). Sie wissen nicht, wie Ionic funktioniert, aber ich denke nicht, dass es diese Art von Mechanismus implementiert (außer für progressive Web-Anwendungen vielleicht).

Der Server ist verantwortlich für die Meldung der erlaubten Herkunft. Der Webbrowser ist dafür verantwortlich, dass Anforderungen nur von zulässigen Domänen gesendet werden.