WCF SOA --- AJAX 跨域请求处理 CORS for WCF

一、问题

跨域请求无法处理的问题，由于为了阻止恶意的网站通过JS脚本来窃取正常网站受保护的资源。所由所有的浏览器的默认策略是阻止XmlHttpRequest的跨域的异步请求。但是对于一个复合型的应用集合来说，可能需要使用不同的域来部署我们的应用。对于这种正常的需求，我们的服务与应用就需要能够支持指定信认域的跨域的异步请法。

通常来说，我们有三种替代方案

1，使用JSONP，

JSONP(JSON with Padding)，但由于JSONP使用的是在HTML DOM中加入<script>标签来包裹来对提供GET的服务请求数据，所有JSONP只对HTTP GET方式的请求取作用。我们的SOA框架，大多是使用POST的请求。

2，使用分离的“Proxy”代理服务，

代理服务是指，在同一个请求的域下创建一个代理的服务， Ajax请求这个代理服务，由代理服务来路由这个请求到目标域的服务上。如果我们的所有的运用都必须使用HTML页面来实现。那这种方式，需要为每一个不同域的应用创建代理服务。但请注意，如果我们的应用是门户网，请求可能来自外面的人，对于性能需求高，那么使用HTML是不可行的。我们需要使用ASP.NET MVC结构，那么Controller层就如同我们的代理服务层。

3，使用CORS

CORS，Cross-Origin Resource Sharing, 这是一种新的对跨域支持的方法，它是通过定义一系列的HTTP Headers 在Service 与Client，服务端可以去掉对于跨域的约束，不仅可以使用GET，还可以使用POST, PUT，或是DELETE, XmlHttpRequest对象已经实现了CORS, 将它作为正常的AJAX调用。但是目前只有最新版本的浏览器才支持，对于Firefox 3.5以下，Safari 4以下，Chrome 3以下， IE 10 以下，可以使用XDomainRequest对象来代替XmlHttpRequest对象来实现。

浏览器对于使用CORS的请求，会分成次请求，第一次，预先授权请求，会将请求的方式变成OPTIONS, 请求的数据为空，这个过程实际上是在看当前的Origin是否被服务允许，如果允许只服务返回200OK, 否则返回405 Method NOT Allowed, 第二次，正常请求，浏览器将请求的数据POST发送服务，服务端会正常响应。注意下面是Chrome的，IE的话，只会显示一条。

二、解决步骤。

1，应用，对于应用层来说，该怎么样写，还是怎么样写，不需要变化。但对于底版本的浏览器的支持需要改代码，不能使用XmlHttpRequest。需要使用XDomainRequest。

2，服务，这里我们使用的是WCF, 对于使用ASP.NET Web API的话，使用参考：https://msdn.microsoft.com/en-us/magazine/dn532203.aspx, 或是Google， CORS in ASP.NET Web Api.

对于WCF,我参考了 CarlosFigueira写的 http://blogs.msdn.com/b/carlosfigueira/archive/2012/05/15/implementing-cors-support-in-wcf.aspx ，文章写的非常不错，但是我发现，其它它是一个半成品，没有实现玩，它的目的是创建一个新的Operation，只是支持OPTIONS方式的请求，Action的名称是当前操作的名称 +特定的后缀。但这样问题来了，客户端浏览器的请求，每一次不会自动加上这个后缀，所有Invoke一直都不会被调用。大家的兴趣下载了使用的话，如果想结合到自己的项目中，可要记得把Web.config中的<modules runAllManagedModulesForAllRequests="true">去掉。当然，前提是，你使用的Service都是自己通过ServiceHostFactory创建出来的，如果使用默认的，是不会支持的。其它 CarlosFigueira想法。我做了一些改变。实现步骤如下：

1，在IIS中，添加Http Response Header 3个，如下

建议这个设置在WebSite上，这样你的服务在这个Website下作为一个Web Application的话，将自动继承这些配置。写在web.config，可以方便控制允许访问的域。当前我使用 *, 这样所有的域都能访问，如果想指定哪些域的话，可以改成如 Http://domain1.com,Http://domain2......。那么只有来自这些域的请求才能处理。当然这个设置，或以在WCF，添加自己的IDispatchMessageInspector实现，在BeforeSendReply事件中，添加响应头。

2，在使用自定ServiceHostFactory，创建服务时，我们可以指定IServiceBehavior，在它的ApplyDispatchBehavior事件中。找到所有的Operation，对它注入WebInvokeAttribute, Method设置成*, 目的是动态将Operation对 Method=OPTIONS的请求处理，如下代码

foreach (ServiceEndpoint endpoint in desc.Endpoints)
{
foreach (var operation in endpoint.Contract.Operations)
{
//Add WebInvoke Attribute to all operation except for WebGet only, so that our opeations are able to handle OPTIONS Http Request Method for CORS issue.
if ( !operation.Behaviors.Any(d => d is WebGetAttribute)
&& !operation.Behaviors.Any(d => d is WebInvokeAttribute))
{
WebInvokeAttribute wia = new WebInvokeAttribute();
wia.UriTemplate = operation.Name;
wia.Method = "*";
operation.Behaviors.Add(wia);
}
}
}

3，当OPTIONS方式的请求来到时，在自定的 IOperationInvoker的invoke事件中，判断当前的Http Method是否为OPTIONS, 如果是的话，不处理正常逻辑，返回一个200 OK的响应。代码如下

public object Invoke(object instance, object[] inputs, out object[] outputs)
{

string operationName = "";
if (OperationContext.Current.IncomingMessageHeaders.Action != null)
{
operationName = OperationContext.Current.IncomingMessageHeaders.Action.ToString();
}
if (OperationContext.Current.IncomingMessageProperties.Keys.Contains("HttpOperationName"))
{
operationName = OperationContext.Current.IncomingMessageProperties["HttpOperationName"].ToString();
}

HttpRequestMessageProperty request = System.ServiceModel.OperationContext.Current.IncomingMessageProperties["httpRequest"] as HttpRequestMessageProperty;
//If enable CORS, then we need to handle OPTIONS Method to reply OK, so that the browser will seed the right POST request.
if (request != null
&& request.Method == "OPTIONS" )
{
System.ServiceModel.Channels.Message input = (System.ServiceModel.Channels.Message)inputs[0];
outputs = null;
return HandlePreflight(input, operationName);
}

else

{

正常处理。。。。

}

System.ServiceModel.Channels.Message HandlePreflight(System.ServiceModel.Channels.Message input, string operationName)
{
System.ServiceModel.Channels.Message reply = System.ServiceModel.Channels.Message.CreateMessage(MessageVersion.None, operationName);
HttpResponseMessageProperty httpResponse = new HttpResponseMessageProperty();
reply.Properties.Add(HttpResponseMessageProperty.Name, httpResponse);

httpResponse.SuppressEntityBody = true;
httpResponse.StatusCode = System.Net.HttpStatusCode.OK;
httpResponse.Headers.Add(CorsConstants.AccessControlAllowOrigin, "*");
httpResponse.Headers.Add(CorsConstants.AccessControlAllowMethods, string.Join(",", new List<string>() { "POST", "GET", "OPTIONS" }));

return reply;
}

结束。