本文目录导读：
SM4加密遇上CORS跨域，这波操作我裂开了！😤
开头碎碎念
哎哟喂，兄弟们，今天咱们聊点硬核的玩意儿！作为一个天天跟网络安全打交道的程序猿，最近在搞SM4加密的时候，差点被CORS跨域折磨到怀疑人生，说实话，我一度想摔键盘，但冷静下来想想，这波坑踩得值啊！今天就来唠唠这个让人又爱又恨的SM4加密CORS跨域组合拳。
先说说SM4加密这磨人的小妖精
说到SM4加密，我第一反应就是——国产之光啊！国密算法的排面必须给足，毕竟是国家商用密码算法，安全性能杠杠的，但你们知道吗？这玩意儿跟CORS跨域碰在一起的时候，那真是火星撞地球,让人头大！
我当时在做一个前后端分离的项目，前端要调后端接口，数据肯定得加密传输对吧？SM4加密当然是我首选，可没想到啊没想到，加密是加上了,但跨域问题直接把我的接口给拦在门外了！
CORS跨域，你这磨人的小冤家
讲真，CORS这玩意儿我一直觉得挺烦的，浏览器出于安全考虑，限制跨域请求，这我能理解，但每次调试都碰上跨域，是真的暴躁啊！特别是当你在A域名上部署了前端，后端在B域名，这时候浏览器就会说：“咱们不熟，别乱发请求！”
更可恶的是，当你用SM4加密了请求体，CORS居然还要先发个OPTIONS预检请求！我的天，这不是双重折磨吗？加密的数据还没发出去呢,预检请求就先把接口给堵了。
SM4加密CORS跨域的实战血泪史
说实话，这个坑我踩得是真深，当时我辛辛苦苦写好了SM4加密的前端代码，信心满满地一测试，好家伙，控制台直接飘红！报错信息写着：
Access to XMLHttpRequest at 'xxx' from origin 'yyy' has been blocked by CORS policy我当时就懵了，SM4加密明明很完美，可是跨域这个拦路虎直接把我的努力全给否定了,你说气不气人？
前端加密防跨域，这波操作要逆天
后来我灵机一动，既然CORS要预检，那我就在预检请求上做文章！在OPTIONS请求里放行，然后在真正的POST请求里做SM4加密,这样不就完美了吗？
但现实狠狠打了我的脸，后端同事说：“大哥，预检请求是浏览器自动发的，我们怎么知道哪个是预检，哪个是真实请求啊？”得，这下又得改后端的过滤器逻辑,专门处理OPTIONS请求。
后端处理要温柔
老子在后端简直是又当爹又当妈，不仅要处理SM4解密，还得配各种CORS配置，跟同事一起折腾了半天，最后成功配置好CORS策略,总算是让SM4加密的数据能在跨域环境下安全传输了。
说真的，这TM太难了！不过配置好之后，突然有一种“修仙渡劫成功”的快感,整个人都通透了！
我的终极踩坑经验分享
我知道有不少小伙伴也遇到过类似的问题,赶紧来分享下我的血泪经验：
跨域配置要前置
别等你写完了SM4加密再去配CORS，先跟后端沟通好跨域策略,不然就等着哭吧！
预检请求要单独处理
OPTIONS请求是绕不开的坎，后端一定要特殊处理，放行预检请求,不然浏览器连加密数据都发不出去。
密钥管理要慎重
SM4加密的密钥，千万别写在前端代码里，那跟裸奔有什么区别？我都是通过配置接口动态获取，然后配合时间戳防重放，这波操作下来,安全系数直接拉满！
跨域+加密，性能损耗要优化
别以为加密完了就完事了，跨域请求本来就多一次握手，再加上SM4加密解密，性能隐患也得注意，金哥建议，能合并请求就合并，能减少加密数据量就减少,不然用户体验会崩的！
最后说点掏心窝子的话
老铁们，说实话，SM4加密和CORS跨域这对冤家组合，虽然虐我千百遍，但真的教会了我很多，每一次踩坑都是一次成长，现在看到浏览器控制台报跨域错误，我都能淡定地泡杯咖啡，然后优雅地处理掉了,哈哈！
啊对了，如果你们也在搞网络安全这块，也遇到过类似的问题，或者想一起交流学习SM4加密、CORS跨域这些东西，欢迎加我的QQ：1008691448，咱们一起探讨，一起进步！说真的，搞网络安全这条路不容易,多个人交流总比自己闷头踩坑强！
加油吧，各位网安人！记得，跨域不可怕，SM4不可怕，可怕的是你不敢面对它们！今天我分享的这些经验，希望能帮你们少走点弯路，就这样吧，我要继续去撸代码了，下次再聊！👋
