如何为Tomcat生成的JSESSIONID Cookie添加Partitioned属性

核心问题分析 #

你遇到的是浏览器第三方Cookie拦截机制导致的会话丢失，而手动添加Partitioned属性未生效，大概率是因为设置方式不正确，或者缺少必要的配套属性。以下是针对性的解决步骤：

1. 确认Servlet版本，用正确的API设置Partitioned #

• 如果你的项目基于Servlet 6.0+（Jakarta EE 10），原生Cookie类已经支持setPartitioned()方法，之前用setAttribute()是错误的——setAttribute()是用来设置自定义扩展属性，并非标准Cookie属性，所以浏览器不会识别。
  正确代码示例（过滤器中）：

  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
      HttpServletRequest req = (HttpServletRequest) request;
      HttpServletResponse resp = (HttpServletResponse) response;
  
      Cookie[] cookies = req.getCookies();
      if (cookies != null) {
          for (Cookie cookie : cookies) {
              if ("JSESSIONID".equals(cookie.getName())) {
                  // 启用Partitioned属性
                  cookie.setPartitioned(true);
                  // 同时确保第三方Cookie必需的属性
                  cookie.setSecure(true);
                  cookie.setSameSite("NONE");
                  resp.addCookie(cookie);
              }
          }
      }
      chain.doFilter(req, resp);
  }
  

• 如果是Servlet 5及以下版本，Cookie类没有setPartitioned()方法，需要手动构建Set-Cookie响应头：

  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
      HttpServletRequest req = (HttpServletRequest) request;
      HttpServletResponse resp = (HttpServletResponse) response;
  
      // 获取当前会话ID
      String sessionId = req.getSession().getId();
      // 手动拼接包含Partitioned的Cookie头
      String cookieHeader = String.format(
          "JSESSIONID=%s; Path=/; Secure; HttpOnly; SameSite=None; Partitioned;",
          sessionId
      );
      // 添加响应头，注意要覆盖容器自动生成的Cookie
      resp.addHeader("Set-Cookie", cookieHeader);
  
      chain.doFilter(req, resp);
  }
  

2. 确保配套属性齐全 #

Partitioned属性生效需要满足几个前提：

• 必须设置Secure：Partitioned仅对HTTPS环境下的Cookie生效，本地开发如果用HTTP，浏览器会直接忽略该属性。
• 必须设置SameSite=None：第三方Cookie场景下，SameSite=None是强制要求，否则即使加了Partitioned，浏览器依然会拦截Cookie。
• HttpOnly建议保留：防止XSS攻击，不影响Partitioned属性生效。

3. 检查容器自动配置（以Tomcat为例） #

很多Servlet容器（如Tomcat）会自动生成JSESSIONID Cookie，如果你自己写的过滤器和容器默认行为冲突，可能导致属性不生效。可以直接在容器配置中启用Partitioned：
在Tomcat的context.xml中添加配置：

<Context 
    useHttpOnly="true" 
    secure="true" 
    sessionCookieSameSite="NONE" 
    sessionCookiePartitioned="true"
>
</Context>

这样Tomcat会自动给JSESSIONID添加所有必需的属性，无需手动写过滤器。

4. 验证浏览器兼容性 #

Partitioned属性目前仅在**Chrome 104+、Edge 104+**中支持，Firefox尚未实现该特性（截至2024年）。如果测试用的是Firefox，网络面板看不到Partition Key是正常的，换Chrome/Edge再验证。

5. 排查重复Cookie问题 #

如果响应中出现多个JSESSIONID Cookie（一个来自容器，一个来自你的过滤器），浏览器可能只会保留第一个，导致Partitioned属性不生效。可以通过以下方式避免：

• 禁用容器自动生成JSESSIONID的行为（部分容器支持）。
• 确保你的过滤器在容器的Cookie生成逻辑之前执行（调整过滤器的filter-mapping顺序）。

内容的提问来源于stack exchange，提问作者Pankaj opentext