Wicket 6.20应用线上部署后CORS跨域访问问题求助

针对你遇到的线上部署后CORS错误，在Wicket 6.20里可以通过以下几种方式配置跨域访问：

方法一：全局响应过滤器（推荐） #

创建一个自定义的响应过滤器，统一给所有响应添加CORS头，这样所有请求都能自动处理跨域：

首先实现IResponseFilter接口：

import org.apache.wicket.request.IRequestCycle;
import org.apache.wicket.request.IRequestHandler;
import org.apache.wicket.request.http.WebResponse;
import org.apache.wicket.request.filter.IResponseFilter;

public class CorsResponseFilter implements IResponseFilter {
    @Override
    public void filter(IRequestCycle cycle, IRequestHandler handler) {
        WebResponse response = (WebResponse) cycle.getResponse();
        
        // 替换成你的前端线上域名，生产环境不要用*（除非允许所有域名）
        response.setHeader("Access-Control-Allow-Origin", "http://your-frontend-domain.com");
        // 允许的HTTP请求方法
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        // 允许携带的请求头
        response.setHeader("Access-Control-Allow-Headers", "Content-Type, Authorization");
        // 如果需要允许携带Cookie等凭证，设置为true
        response.setHeader("Access-Control-Allow-Credentials", "true");
        // 预检请求的缓存时间（单位：秒）
        response.setHeader("Access-Control-Max-Age", "3600");
    }
}

然后在你的Wicket Application类的init()方法中注册这个过滤器：

@Override
protected void init() {
    super.init();
    // 添加CORS响应过滤器到全局配置
    getRequestCycleSettings().addResponseFilter(new CorsResponseFilter());
}

方法二：针对特定页面/资源配置 #

如果只需要给某些页面或资源开启跨域，可以在对应组件的渲染方法中手动设置响应头：

针对页面： #

@Override
protected void renderHead(IHeaderResponse response) {
    super.renderHead(response);
    WebResponse webResponse = (WebResponse) getRequestCycle().getResponse();
    webResponse.setHeader("Access-Control-Allow-Origin", "http://your-frontend-domain.com");
    // 根据需要添加其他CORS头
}

针对自定义资源： #

public class CorsEnabledResource extends AbstractResource {
    @Override
    protected ResourceResponse newResourceResponse(Attributes attributes) {
        ResourceResponse response = super.newResourceResponse(attributes);
        response.setHeader("Access-Control-Allow-Origin", "http://your-frontend-domain.com");
        // 其他必要的CORS头
        return response;
    }
}

注意事项 #

• 生产环境安全建议：不要使用*作为Access-Control-Allow-Origin的值，除非你明确允许所有域名访问你的服务。指定具体的前端域名能大幅提升安全性。
• 预检请求处理：OPTIONS请求是浏览器发起的预检请求，上面的全局过滤器会自动为其添加CORS头，Wicket通常能正常处理OPTIONS请求，但如果你的应用有特殊路由或安全拦截，需要确保OPTIONS请求能到达Wicket的处理逻辑。
• 安全框架冲突：如果你的应用集成了Spring Security等安全框架，需要确保这些框架不会覆盖Wicket设置的CORS头，可能需要在安全框架中也配置对应的CORS规则。

内容的提问来源于stack exchange，提问作者Salearnah