@RestController
@RequestMapping("/api")
public class MyController {
    // 允許單個(gè)方法跨域
    @CrossOrigin(origins = "http://localhost:3000")
    @GetMapping("/hello")
    public String hello() {
        return "Hello, CORS!";
    }
    // 允許整個(gè)控制器跨域
    @CrossOrigin(origins = "http://localhost:3000")
    @GetMapping("/another")
    public String another() {
        return "Another endpoint";
    }
}

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")  // 所有路徑
                .allowedOrigins("http://localhost:3000", "https://example.com")  // 允許的源
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")  // 允許的方法
                .allowedHeaders("*")  // 允許的請(qǐng)求頭
                .allowCredentials(true)  // 允許攜帶憑證(cookie等)
                .maxAge(3600);  // 預(yù)檢請(qǐng)求的緩存時(shí)間(秒)
    }
}

/**
 * CORS跨域過(guò)濾器配置
 * 用于處理瀏覽器跨域請(qǐng)求的支持
 * 過(guò)濾器會(huì)攔截所有請(qǐng)求(/*)并添加CORS響應(yīng)頭
 */
@WebFilter("/*")  // 攔截所有請(qǐng)求
public class CorsFilter implements Filter {
    /**
     * 過(guò)濾器核心方法，處理請(qǐng)求和響應(yīng)
     * @param req ServletRequest對(duì)象
     * @param res ServletResponse對(duì)象
     * @param chain FilterChain對(duì)象，用于繼續(xù)過(guò)濾器鏈
     */
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) 
            throws IOException, ServletException {
        // 類型轉(zhuǎn)換為HTTP相關(guān)的請(qǐng)求/響應(yīng)對(duì)象
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;
        // 設(shè)置允許所有域訪問(wèn)（生產(chǎn)環(huán)境應(yīng)替換為具體域名）
        response.setHeader("Access-Control-Allow-Origin", "*");
        // 設(shè)置允許的HTTP方法
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        // 設(shè)置預(yù)檢請(qǐng)求的緩存時(shí)間（1小時(shí)）
        response.setHeader("Access-Control-Max-Age", "3600");
        // 設(shè)置允許的請(qǐng)求頭（包括自定義頭）
        response.setHeader("Access-Control-Allow-Headers", "authorization, content-type, xsrf-token");
        // 設(shè)置允許前端訪問(wèn)的響應(yīng)頭（暴露自定義頭）
        response.addHeader("Access-Control-Expose-Headers", "xsrf-token");
        // 處理OPTIONS預(yù)檢請(qǐng)求
        if ("OPTIONS".equals(request.getMethod())) {
            // 直接返回200狀態(tài)碼，不繼續(xù)過(guò)濾器鏈
            response.setStatus(HttpServletResponse.SC_OK);
        } else {
            // 非OPTIONS請(qǐng)求，繼續(xù)過(guò)濾器鏈
            chain.doFilter(req, res);
        }
    }
    /**
     * 過(guò)濾器初始化方法（可留空）
     * @param filterConfig 過(guò)濾器配置對(duì)象
     */
    @Override 
    public void init(FilterConfig filterConfig) {
        // 初始化邏輯（如有需要）
    }
    /**
     * 過(guò)濾器銷毀方法（可留空）
     */
    @Override 
    public void destroy() {
        // 清理資源邏輯（如有需要）
    }
}

/**
 * Spring Security 安全配置類
 * 用于配置應(yīng)用的安全策略和CORS跨域設(shè)置
 */
@Configuration  // 標(biāo)記為Spring配置類
@EnableWebSecurity  // 啟用Spring Security的Web安全支持
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    /**
     * 配置HTTP安全策略
     * @param http HttpSecurity對(duì)象，用于配置安全策略
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 啟用CORS支持(使用下面定義的corsConfigurationSource bean)
            .cors().and()  
            // 禁用CSRF防護(hù)(跨站請(qǐng)求偽造)，因?yàn)锳PI通常使用token驗(yàn)證而非session
            // 注意：如果前端與后端同域且使用session，應(yīng)該保持啟用
            .csrf().disable()  
            // 開(kāi)始配置請(qǐng)求授權(quán)規(guī)則
            .authorizeRequests()
                // 允許/api/public/開(kāi)頭的URL無(wú)需認(rèn)證
                .antMatchers("/api/public/**").permitAll()  
                // 其他所有請(qǐng)求都需要認(rèn)證
                .anyRequest().authenticated();
    }
    /**
     * 配置CORS跨域設(shè)置
     * @return CorsConfigurationSource 跨域配置源
     */
    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        // 創(chuàng)建CORS配置對(duì)象
        CorsConfiguration configuration = new CorsConfiguration();
        // 設(shè)置允許的源(前端地址)，可以添加多個(gè)
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
        // 設(shè)置允許的HTTP方法
        configuration.setAllowedMethods(Arrays.asList(
            "GET",      // 獲取資源
            "POST",     // 創(chuàng)建資源
            "PUT",      // 更新資源
            "DELETE",   // 刪除資源
            "OPTIONS"   // 預(yù)檢請(qǐng)求
        ));
        // 設(shè)置允許的請(qǐng)求頭(*表示所有)
        configuration.setAllowedHeaders(Arrays.asList("*"));
        // 允許發(fā)送憑據(jù)(cookie、認(rèn)證信息等)
        // 注意：當(dāng)設(shè)置為true時(shí)，allowedOrigins不能為*
        configuration.setAllowCredentials(true);
        // 創(chuàng)建基于URL的CORS配置源
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        // 對(duì)所有URL路徑應(yīng)用上述CORS配置
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}