PAC4J OIDC集成Azure AD认证后出现“无法确定State”问题

问题根源 #

• 在Tomcat的context.xml中配置sameSiteCookies="strict"后，浏览器仅会在同站请求中携带JSESSIONID Cookie。
• 应用重定向到Azure AD（跨站）完成认证后，回调请求属于跨站场景，浏览器不会携带JSESSIONID，导致PAC4J无法读取会话中存储的state参数，触发TechnicalException并抛出“State cannot be determined”错误。

已验证的解决方案 #

方案1：将SameSite属性改为lax（推荐） #

修改Tomcat的context.xml配置：

<Context>
    <Manager pathname="" />
    <CookieProcessor sameSiteCookies="lax"/>
</Context>

lax模式允许浏览器在跨站GET请求中携带Cookie，完美适配OIDC认证回调的场景，同时满足渗透测试对Cookie安全的要求，是当前最优解决方案。

方案2：禁用State验证（不推荐） #

调用OidcClient.setWithState(false)可关闭state验证，但该操作无法像OAuth2那样通过配置属性直接设置。

关于oidc.withState配置参数的说明 #

当前使用的pac4j 5.7.2版本暂不支持通过oidc.withState属性配置该选项。未来版本是否会添加此参数需关注官方更新，但从安全角度出发，state参数用于防范CSRF攻击，不建议禁用，优先选择方案1。

内容的提问来源于stack exchange，提问作者Gunnar Adams