Spring Security 6 SAML跨域SameSite Cookie传递异常求助

核心问题分析 #

跨域场景下浏览器不会自动携带会话Cookie，需同时满足Cookie配置、后端CORS配置、前端请求配置三个条件，仅调整SameSite属性无法解决问题。

具体修正步骤 #

1. 修正CookieSerializer配置 #

针对跨域场景调整Cookie的Domain、SameSite、Secure属性：

@Bean
public CookieSerializer cookieSerializer() {
    DefaultCookieSerializer serializer = new DefaultCookieSerializer();
    serializer.setCookieName("JSESSIONID");
    serializer.setCookiePath("/");
    
    // 本地HTTP测试关闭Secure；线上HTTPS环境必须开启（SameSite=None要求配合Secure）
    serializer.setUseSecureCookie(false);
    
    // 跨域请求必须设置为None，Strict/Lax会阻止跨域Cookie传递
    serializer.setSameSite("None");
    
    // 设置共享Cookie的顶级域名（例如两个服务分别为saml.app.local和ui.app.local时，设置为.app.local）
    // 注意：localhost为特殊域名，需将hosts配置为saml.localhost、ui.localhost后，设置domain为".localhost"
    serializer.setDomainName(".app.local");
    
    return serializer;
}

若两个服务为完全独立的顶级域名（如a.com和b.com），浏览器同源策略会阻止Cookie传递，此时需改用OAuth2 Bearer Token替代会话Cookie。

2. 配置Spring Security全局CORS #

必须允许凭证传递，且指定具体的UI源（不能用*）：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 启用全局CORS配置
            .cors(cors -> cors.configurationSource(corsConfigurationSource()))
            // 保留原有SAML认证配置...
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/**").authenticated()
                .anyRequest().permitAll()
            );
        return http.build();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration config = new CorsConfiguration();
        // 指定UI服务的完整地址（例如http://ui.app.local:3000）
        config.setAllowedOrigins(List.of("http://ui.app.local:3000"));
        config.setAllowedMethods(List.of("GET", "POST", "PUT", "DELETE"));
        config.setAllowedHeaders(List.of("*"));
        // 关键：允许跨域传递凭证（Cookie）
        config.setAllowCredentials(true);
        
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return source;
    }

    // 原有SAML相关Bean（如RelyingPartyRegistrationRepository等）...
}

3. 前端请求开启凭证传递 #

以React+Axios为例，必须设置withCredentials: true：

import axios from 'axios';

const apiClient = axios.create({
  baseURL: 'http://saml.app.local:8080',
  // 关键：告诉浏览器携带跨域Cookie
  withCredentials: true,
});

// 调用受保护API示例
const fetchUserInfo = async () => {
  try {
    const response = await apiClient.get('/api/user');
    console.log(response.data);
  } catch (error) {
    console.error('API请求失败:', error);
  }
};

4. 验证Hosts配置 #

确保两个服务的域名共享同一顶级域名，例如：

127.0.0.1 saml.app.local
127.0.0.1 ui.app.local

常见误区排查 #

• 不要混用@CrossOrigin注解与全局CORS配置：若使用注解，需显式设置allowCredentials = true且origins为具体值，否则会覆盖全局配置导致凭证传递失败。
• 本地HTTP环境下不能开启UseSecureCookie：浏览器会拒绝保存Secure属性的Cookie到HTTP环境。
• SameSite=None必须配合Secure：线上HTTPS环境必须同时开启这两个属性，否则Cookie不会生效。

内容的提问来源于stack exchange，提问作者Amit Mahajan