Spring Boot/Spring Security自定义CSRF令牌Cookie登录验证失败求助

核心问题分析 #

你遇到的问题是自定义CSRF Cookie名称后，服务器处理POST/login请求时无法从请求中读取到CSRF令牌（loadToken返回null），尽管请求确实携带了该Cookie，最终导致CSRF验证失败并重定向回登录页。

排查与解决步骤 #

1. 检查Cookie的secure属性配置 #

如果服务器运行在HTTPS环境下，当前设置cookie.secure(false)会导致浏览器拒绝发送该Cookie（浏览器仅会将secure=true的Cookie发送到HTTPS地址）。修改为：

cookie.secure(true)

开发环境使用HTTP时可保持secure=false，但生产环境必须设为true以符合安全规范。

2. 调整Cookie的HttpOnly属性 #

当前设置cookie.httpOnly(true)会阻止前端JavaScript读取Cookie值，若登录表单通过JS填充_csrf参数，将无法获取令牌值，导致请求提交的令牌与服务器存储的不一致。修改为：

cookie.httpOnly(false)

若表单是服务器端渲染直接注入_csrf参数，此步骤可跳过，但仍建议保持HttpOnly=false以兼容前端场景。

3. 验证Cookie的SameSite设置 #

SameSite=Strict会限制Cookie仅在同域直接访问时发送，若登录请求是从其他页面跳转触发的，可能被浏览器拦截。尝试修改为：

cookie.sameSite("Lax")

Lax模式允许在同域导航和GET请求中发送Cookie，更适合表单提交场景。

4. 优化自定义CsrfTokenRepository的初始化方式 #

避免手动new CookieCsrfTokenRepository()，改用官方静态方法创建实例，确保默认配置正确生效：

private val cookieCsrfTokenRepository = CookieCsrfTokenRepository.withHttpOnlyFalse()

init {
    cookieCsrfTokenRepository.setCookieName(CSRF_COOKIE_NAME)
    cookieCsrfTokenRepository.setHeaderName(CSRF_HEADER_NAME)
    cookieCsrfTokenRepository.setParameterName(CSRF_PARAMETER_NAME)
    cookieCsrfTokenRepository.setCookieCustomizer { cookie ->
        cookie.secure(if (isProduction) true else false) // 根据环境动态设置
        cookie.sameSite("Lax")
        cookie.maxAge(-1)
        cookie.path(COOKIE_PATH)
    }
}

5. 排查自定义sessionAuthenticationStrategy的影响 #

安全链配置中使用的customCsrfAuthenticationStrategy若未正确实现CSRF令牌的验证或更新逻辑，可能导致验证失败。先临时注释该配置，使用默认策略测试：

http.csrf { csrf ->
    csrf.csrfTokenRepository(customServletCsrfTokenRepository)
    // csrf.sessionAuthenticationStrategy(customCsrfAuthenticationStrategy) 临时注释
    csrf.requireCsrfProtectionMatcher { request ->
        !request.method.equals("GET", ignoreCase = true)
    }
}

若问题解决，说明自定义策略存在逻辑错误，需检查其实现是否符合Spring Security的CSRF认证流程。

6. 打印请求Cookie进行调试 #

在loadToken方法中添加请求Cookie的全量打印，确认服务器是否真的收到了目标Cookie：

override fun loadToken(request: HttpServletRequest): CsrfToken? {
    request.cookies?.forEach { cookie ->
        println("Received Cookie: ${cookie.name} = ${cookie.value}")
    }
    val token = cookieCsrfTokenRepository.loadToken(request)
    println("Loaded CSRF Token: ${token?.token}")
    return token
}

如果打印结果中没有XSRF-AUTH-TOKEN，说明浏览器未发送该Cookie，需回到步骤1-3检查Cookie属性；如果存在该Cookie但loadToken返回null，说明CookieCsrfTokenRepository的配置存在问题，需检查初始化逻辑。

额外注意事项 #

• 确保Spring Security配置中，CSRF的配置顺序在表单登录（formLogin）之前，否则CSRF规则可能不生效。
• 检查表单是否正确携带了_csrf参数（名称需与你设置的CSRF_PARAMETER_NAME一致），服务器端渲染时可通过${_csrf.token}注入该值。

内容的提问来源于stack exchange，提问作者Sachin