Angular+Spring Boot应用初始请求JSessionID频繁变更问题排查

API 探路者

2026-6-19

原因分析

预检请求未携带Cookie触发新会话：浏览器发起跨域请求前会自动发送OPTIONS预检请求，默认不会携带Cookie。如果后端未针对OPTIONS请求做特殊处理，会因缺少JSESSIONID新建会话并返回新的Set-Cookie头。后续实际业务请求携带登录后的Cookie时，后端会复用正确会话，但之前的预检请求已生成无效会话，导致前几次请求出现会话ID变更。
前端并行请求导致Cookie同步延迟：登录成功后，若Angular同时发起多个业务请求，浏览器可能还未完成登录响应中JSESSIONID的Cookie写入操作，后续请求会携带旧的或空的Cookie，后端收到后只能新建会话，直到浏览器完成Cookie同步，会话ID才会稳定。
Cookie属性配置不匹配：如果后端设置的JSESSIONID Cookie的Path、SameSite等属性不合理，比如Path仅指向登录接口路径，或者SameSite设置过于严格，会导致部分请求无法携带正确的Cookie，后端被迫创建新会话。

解决建议

优化CORS配置，跳过预检请求的会话创建：在Spring Boot的CORS配置中，确保allowCredentials(true)，且allowedOrigins指定具体前端域名（不能用*）。同时添加过滤器，让OPTIONS请求直接返回成功，不触发会话创建逻辑：

@Component
public class CorsFilter implements Filter {
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        HttpServletRequest request = (HttpServletRequest) req;
        response.setHeader("Access-Control-Allow-Origin", "你的前端域名");
        response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        response.setHeader("Access-Control-Allow-Headers", "Content-Type, Authorization");
        response.setHeader("Access-Control-Allow-Credentials", "true");
        
        if ("OPTIONS".equals(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
            return;
        }
        chain.doFilter(req, res);
    }
}

控制前端请求串行化：登录成功后，不要立即并行发起多个请求，可通过Angular的BehaviorSubject或拦截器确保请求在Cookie写入完成后发送。例如，在登录服务中返回Promise，等待登录响应完成后再触发后续请求：

login(credentials: Credentials): Promise<void> {
  return this.http.post('/api/login', credentials, { withCredentials: true })
    .toPromise()
    .then(() => {
      // 等待Cookie写入，可添加短暂延迟或通过Cookie检查确认
      return new Promise(resolve => setTimeout(resolve, 100));
    });
}

统一JSESSIONID的Cookie属性：在Spring Boot的配置文件（如application.properties）中设置Cookie的全局属性，确保所有请求都能携带正确的JSESSIONID：

server.servlet.session.cookie.path=/
server.servlet.session.cookie.same-site=Lax
server.servlet.session.cookie.http-only=true
server.servlet.session.cookie.secure=true # 仅在HTTPS环境下启用

检查后端会话创建逻辑：确保仅在用户登录成功后才创建会话，对未携带有效身份信息的请求（除登录外），避免无意义的会话创建。可通过拦截器判断请求是否为登录接口，非登录接口且无有效Cookie时直接返回未授权，不触发会话创建。

内容的提问来源于stack exchange，提问作者Stefan Leithenmayr