Error con CORS en API REST

[Hyemin]

Hola, tengo un servicio rest que funciona bien con el postman pero me da un error al ser consumido en el navegador

Código:

  @POST
    //@Consumes("application/x-www-form-urlencoded")
    @Produces(MediaType.APPLICATION_JSON)
    public Response login(@HeaderParam("usuario") String usuario,
            @HeaderParam("pass") String pass) {

        Usuario u = new Usuario();

        
        LdapService ld = new LdapService();
        LdapUser usuarioActual = new LdapUser();
        try {
            usuarioActual = ld.validarUsuario(usuario, pass);
        } catch (LDAPException ex) {
            Logger.getLogger(LoginResource.class.getName()).log(Level.SEVERE, null, ex);
        }
        
        u.usuario = usuarioActual.getNombre();
        u.rol = usuarioActual.getRol();

       return Response
      .status(Response.Status.OK)
      .header("Access-Control-Allow-Origin", "*")
      .header("Access-Control-Allow-Credentials", "true")
      .header("Access-Control-Allow-Headers: 'application/json'",
        "origin, content-type, accept, authorization")
      .header("Access-Control-Allow-Methods", 
        "GET, POST, PUT, DELETE, OPTIONS, HEAD")
      .entity(u)
      .build();
        
    }

Este metodo en el postman me devuelve un JSON correcto

Ahora, en Angular cuando lo consumo me sale este error en el navegador

Código:

zone-evergreen.js:2952 Cross-Origin Read Blocking (CORB) blocked cross-origin response http://192.168.1.7:8080/rest2/webresources/login with MIME type application/vnd.sun.wadl+xml. See https://www.chromestatus.com/feature/5629709824032768 for more details.

Probe pila de cosas y no logro hacerlo andar, me falta algo en mi codigo de java?

[prueba230683]

Pues entonces el problema está en el cliente, o sea en cómo realizas la petición con JavaScript.

Según lo que he leído de ese error, posiblemente se deba a que el navegador no espera recibir contenido application/vnd.sun.wadl+xml del servidor porque en la cabecera Accept de la petición has indicado otra cosa distinta (ej. application/xml).

Te recomiendo mostrar el código JavaScript que hace la petición para que podamos localizar el problema.

Un saludo

[Hyemin]

Iniciado por prueba230683

Pues entonces el problema está en el cliente, o sea en cómo realizas la petición con JavaScript.

Según lo que he leído de ese error, posiblemente se deba a que el navegador no espera recibir contenido application/vnd.sun.wadl+xml del servidor porque en la cabecera Accept de la petición has indicado otra cosa distinta (ej. application/xml).

Te recomiendo mostrar el código JavaScript que hace la petición para que podamos localizar el problema.

Un saludo

Gracias por tu respuesta, estoy usando Angular8 del lado del cliente y este es el metodo

Código Javascript:

import { HttpClient } from '@angular/common/http';
 
  constructor(public http: HttpClient, public router: Router, private subir: SubirarchivoService) {
    this.cargarStorage();
   }
 loginLDAP(usuario: string, pass:string, recuerdame: boolean){
 
    if (recuerdame){
      localStorage.setItem('username', usuario)
    } else {
      localStorage.removeItem('username');
    }
 
    let url = environment.urlLDAP+"/login";
 
    return this.http.post(url, {usuario, pass});
 
  }
 

[prueba230683]

En el código del primer post:

Código Java:

.header("Access-Control-Allow-Headers: 'application/json'",
        "origin, content-type, accept, authorization")
 

creo que debería ser:

Código Java:

.header("Access-Control-Allow-Headers",
        "origin, content-type, accept, authorization")
 

[Hyemin]

Iniciado por prueba230683

En el código del primer post:

Código Java:

.header("Access-Control-Allow-Headers: 'application/json'",
        "origin, content-type, accept, authorization")
 

creo que debería ser:

Código Java:

.header("Access-Control-Allow-Headers",
        "origin, content-type, accept, authorization")
 

Gracias por la respuesta, acabo de probar eso y sigue sin funcionar :( da el mismo error de CORS

Código:

Access to XMLHttpRequest at 'http://192.168.38.7:8080/rest2/webresources/login' from origin 'http://localhost:4200' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource.
core.js:6014 ERROR

Código:

zone-evergreen.js:2952 Cross-Origin Read Blocking (CORB) blocked cross-origin response http://192.168.38.137:8080/rest2/webresources/login with MIME type application/vnd.sun.wadl+xml. See https://www.chromestatus.com/feature/5629709824032768 for more details.

[prueba230683]

Resulta que la especificación de CORS, por seguridad, no permite usar Access-Control-Allow-Origin: * y Access-Control-Allow-Credentials: true al mismo tiempo, que es lo que estás intentando hacer.

Simplemente cambia el asterisco por el host que estés usando. En tu caso:

Código Java:

.header("Access-Control-Allow-Origin", "http://localhost:4200")
 

Cuando lo pruebes con un dominio real, no te olvides de cambiarlo por el dominio real.

[Hyemin]

Iniciado por prueba230683

Resulta que la especificación de CORS, por seguridad, no permite usar Access-Control-Allow-Origin: * y Access-Control-Allow-Credentials: true al mismo tiempo, que es lo que estás intentando hacer.

Simplemente cambia el asterisco por el host que estés usando. En tu caso:

Código Java:

.header("Access-Control-Allow-Origin", "http://localhost:4200")
 

Cuando lo pruebes con un dominio real, no te olvides de cambiarlo por el dominio real.

Gracias,

Intente eso pero me sigue dando el mismo error de CORS, igual necesitaria que cualquier IP pudiera acceder a esta API REST por lo que necesitaria alguna forma de habilitar el CORS general

Código Java:

@POST
    //@Consumes("application/x-www-form-urlencoded")
    @Produces(MediaType.APPLICATION_JSON)
    //@CrossOrigin()
    public Response login(@HeaderParam("usuario") String usuario,
            @HeaderParam("pass") String pass) {
 
        Usuario u = new Usuario();
        u.usuario = usuario;
        u.rol = "ADMIN";
 
        
        LdapService ld = new LdapService();
        LdapUser usuarioActual = new LdapUser();
        try {
            usuarioActual = ld.validarUsuario(usuario, pass);
        } catch (LDAPException ex) {
            Logger.getLogger(LoginResource.class.getName()).log(Level.SEVERE, null, ex);
        }
        String respuesta = "";
        
        u.usuario = usuarioActual.getNombre();
        u.rol = usuarioActual.getRol();
 
       return Response
      .status(Response.Status.OK)
      .header("Access-Control-Allow-Origin", "http://192.168.1.8:4200, http://localhost:4200")
      //.header("Access-Control-Allow-Credentials", "true")
      .header("Access-Control-Allow-Headers",
        "origin, content-type, accept, authorization")
      .header("Access-Control-Allow-Methods", 
        "GET, POST, PUT, DELETE, OPTIONS, HEAD")
      .entity(u)
      .build();
 
       
    }
 

[prueba230683]

Con el código que muestras, solamente estás enviando las cabeceras de CORS cuando el método de la petición es POST.

También debes enviar todas esas cabeceras cuando el método es OPTIONS, ya que el navegador hace una petición de prueba o preflight (con el método OPTIONS) antes de realizar la petición POST definitiva.

La solución es utilizar un filtro como este: https://stackoverflow.com/a/36619749

Editándolo un poco, si quieres dar acceso a cualquier dominio puedes crear la siguiente clase ResponseCorsFilter:

Código Java:

import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.core.MultivaluedMap;
import javax.ws.rs.ext.Provider;
import java.io.IOException;
 
@Provider
public class ResponseCorsFilter implements ContainerResponseFilter {
 
    @Override
    public void filter(ContainerRequestContext requestContext, ContainerResponseContext responseContext) throws IOException {
 
        MultivaluedMap<String, Object> responseHeaders = responseContext.getHeaders();
        String origin = requestContext.getHeaderString("Origin");
 
        responseHeaders.putSingle("Access-Control-Allow-Origin", origin);
        responseHeaders.putSingle("Access-Control-Allow-Methods", "GET, POST, OPTIONS, PUT, DELETE, HEAD");
        responseHeaders.putSingle("Access-Control-Allow-Credentials", "true");
 
        String reqHead = requestContext.getHeaderString("Access-Control-Request-Headers");
 
        if (null != reqHead && !reqHead.equals("")) {
                responseHeaders.putSingle("Access-Control-Allow-Headers", reqHead);
        }
    }
}
 

Por otra parte, para que dicho filtro funcione debes editar el fichero web.xml de tu servidor.

En el web.xml debes añadir dentro de la etiqueta <web-app> lo siguiente:

Código XML:

<filter>
        <filter-name>miFiltro</filter-name>
        <filter-class>ResponseCorsFilter</filter-class>
</filter>
 
<filter-mapping>
        <filter-name>miFiltro</filter-name>
        <url-pattern>/aqui/la/ruta/del/api</url-pattern>
</filter-mapping>
 

Simplemente debes reemplazar "/aqui/la/ruta/del/api" por la ruta de tu API donde quieres que se incluyan las cabeceras de CORS.

[Hyemin]

Iniciado por prueba230683

Con el código que muestras, solamente estás enviando las cabeceras de CORS cuando el método de la petición es POST.

También debes enviar todas esas cabeceras cuando el método es OPTIONS, ya que el navegador hace una petición de prueba o preflight (con el método OPTIONS) antes de realizar la petición POST definitiva.

La solución es utilizar un filtro como este: https://stackoverflow.com/a/36619749

Editándolo un poco, si quieres dar acceso a cualquier dominio puedes crear la siguiente clase ResponseCorsFilter:

Código Java:

import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.core.MultivaluedMap;
import javax.ws.rs.ext.Provider;
import java.io.IOException;
 
@Provider
public class ResponseCorsFilter implements ContainerResponseFilter {
 
    @Override
    public void filter(ContainerRequestContext requestContext, ContainerResponseContext responseContext) throws IOException {
 
        MultivaluedMap<String, Object> responseHeaders = responseContext.getHeaders();
        String origin = requestContext.getHeaderString("Origin");
 
        responseHeaders.putSingle("Access-Control-Allow-Origin", origin);
        responseHeaders.putSingle("Access-Control-Allow-Methods", "GET, POST, OPTIONS, PUT, DELETE, HEAD");
        responseHeaders.putSingle("Access-Control-Allow-Credentials", "true");
 
        String reqHead = requestContext.getHeaderString("Access-Control-Request-Headers");
 
        if (null != reqHead && !reqHead.equals("")) {
                responseHeaders.putSingle("Access-Control-Allow-Headers", reqHead);
        }
    }
}
 

Por otra parte, para que dicho filtro funcione debes editar el fichero web.xml de tu servidor.

En el web.xml debes añadir dentro de la etiqueta <web-app> lo siguiente:

Código XML:

<filter>
        <filter-name>miFiltro</filter-name>
        <filter-class>ResponseCorsFilter</filter-class>
</filter>
 
<filter-mapping>
        <filter-name>miFiltro</filter-name>
        <url-pattern>/aqui/la/ruta/del/api</url-pattern>
</filter-mapping>
 

Simplemente debes reemplazar "/aqui/la/ruta/del/api" por la ruta de tu API donde quieres que se incluyan las cabeceras de CORS.

Gracias por tu respuesta, intente eso pero ahora no me levanta el WAR y da este error

Código:

19/12/2019 05:22:24 PM org.glassfish.jersey.servlet.init.JerseyServletContainerInitializer addServletWithApplication
INFO: Registering the Jersey servlet application, named servicios.ApplicationConfig, at the servlet mapping /webresources/*, with the Application class of the same name.
19/12/2019 05:22:24 PM org.springframework.web.context.ContextLoader initWebApplicationContext
INFO: Root WebApplicationContext: initialization started
19/12/2019 05:22:24 PM org.springframework.context.support.AbstractApplicationContext prepareRefresh
INFO: Refreshing Root WebApplicationContext: startup date [Thu Dec 19 17:22:24 GMT-03:00 2019]; root of context hierarchy
19/12/2019 05:22:24 PM org.springframework.beans.factory.xml.XmlBeanDefinitionReader loadBeanDefinitions
INFO: Loading XML bean definitions from ServletContext resource [/WEB-INF/applicationContext.xml]
19/12/2019 05:22:24 PM org.springframework.web.context.ContextLoader initWebApplicationContext
INFO: Root WebApplicationContext: initialization completed in 310 ms
19/12/2019 05:22:24 PM org.apache.catalina.core.StandardContext startInternal
GRAVE: Error filterStart
19/12/2019 05:22:24 PM org.apache.catalina.core.StandardContext startInternal
GRAVE: Falló en arranque del Contexto [/rest2] debido a errores previos
19/12/2019 05:22:24 PM org.springframework.context.support.AbstractApplicationContext doClose
INFO: Closing Root WebApplicationContext: startup date [Thu Dec 19 17:22:24 GMT-03:00 2019]; root of context hierarchy

Mi web.xml es

Código XML:

<filter>
        <filter-name>miFiltro</filter-name>
        <filter-class>ResponseCorsFilter</filter-class>
</filter>
 
<filter-mapping>
        <filter-name>miFiltro</filter-name>
        <url-pattern>/login</url-pattern>
</filter-mapping>
 

[prueba230683]

No sé, prueba creando con tu IDE un paquete com.ejemplo.filtros:

Código Java:

package com.ejemplo.filtros;
 
import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.core.MultivaluedMap;
import javax.ws.rs.ext.Provider;
import java.io.IOException;
 
@Provider
public class ResponseCorsFilter implements ContainerResponseFilter {
 
    @Override
    public void filter(ContainerRequestContext requestContext, ContainerResponseContext responseContext) throws IOException {
 
        MultivaluedMap<String, Object> responseHeaders = responseContext.getHeaders();
        String origin = requestContext.getHeaderString("Origin");
 
        responseHeaders.putSingle("Access-Control-Allow-Origin", origin);
        responseHeaders.putSingle("Access-Control-Allow-Methods", "GET, POST, OPTIONS, PUT, DELETE, HEAD");
        responseHeaders.putSingle("Access-Control-Allow-Credentials", "true");
 
        String reqHead = requestContext.getHeaderString("Access-Control-Request-Headers");
 
        if (null != reqHead && !reqHead.equals("")) {
                responseHeaders.putSingle("Access-Control-Allow-Headers", reqHead);
        }
    }
}
 

Y luego referéncialo como com.ejemplo.filtros.ResponseCorsFilter:

Código XML:

<filter>
        <filter-name>miFiltro</filter-name>
        <filter-class>com.ejemplo.filtros.ResponseCorsFilter</filter-class>
</filter>
 
<filter-mapping>
        <filter-name>miFiltro</filter-name>
        <url-pattern>/login</url-pattern>
</filter-mapping>
 

Si esto no funciona, la última opción que me queda es añadir las cabeceras vía .htaccess.