Spring+Spring Security跨设备Set-Cookie传递JWT Cookie失败求助

你的问题核心出在两个关键配置错误上：Cookie的domain设置不符合规则，以及CORS配置中允许凭证与通配符源的冲突，二者共同导致跨PC客户端拒绝接收Set-Cookie头。

1. 修复ResponseCookie的Domain配置 #

你当前用request.getRemoteAddr()设置Cookie的domain是完全错误的——Cookie的domain指的是服务器的域名/IP，而非客户端IP。浏览器会直接拒绝domain为客户端自身IP的Cookie，这违反了Cookie的同源策略规则。

修改方案： #

• 开发环境下可以直接移除domain配置，让浏览器自动根据请求的服务器地址生成Cookie的domain；
• 或者明确指定服务器的实际IP（比如你的服务器局域网IP是192.168.1.100）。

修改后的Cookie构建代码：

ResponseCookie cookieAccessToken = ResponseCookie.from("accessToken", responseDTO.getAccessToken())
        .maxAge(Duration.ofMinutes(5))
        // 移除错误的domain配置，或替换为服务器IP：.domain("192.168.1.100")
        .sameSite("Lax")
        .secure(false) // HTTP环境下必须设为false，HTTPS场景才用true
        .httpOnly(true)
        .build();

2. 修复CORS配置的冲突 #

当你开启allowCredentials(true)（允许携带Cookie等凭证）时，allowedOriginPatterns("*")是无效的——浏览器安全规则明确要求：允许凭证的情况下必须指定具体的允许源，不能使用通配符*。

修改方案： #

将allowedOriginPatterns替换为客户端实际的访问地址，或者用匹配模式覆盖你的局域网IP段：

@Override
public void addCorsMappings(CorsRegistry registry){
    registry.addMapping("/**")
            // 替换为客户端实际地址，或用模式匹配覆盖局域网："http://192.168.1.*"
            .allowedOriginPatterns("http://192.168.1.200:3000", "http://192.168.1.*")
            .allowCredentials(true)
            .allowedMethods("GET", "POST", "PUT", "DELETE");
}

3. 额外验证点 #

• SameSite属性：HTTP环境下不要设置为None，浏览器会直接拒绝此类Cookie，保持Lax即可；
• Secure属性：HTTP环境下必须设为false，若设为true，浏览器只会在HTTPS请求中携带Cookie，开发环境HTTP场景会直接忽略；
• Spring Security配置：你当前的配置无问题，STATELESS会话策略、禁用CSRF都符合JWT+Cookie的无状态登录需求。

测试建议 #

1. 确保客户端请求时携带正确的Origin头（浏览器会自动携带，Postman需手动设置）；
2. 查看浏览器控制台的网络请求，确认Set-Cookie头是否存在，以及是否有Cookie被拒绝的警告信息；
3. 用浏览器开发者工具（Application -> Cookies）检查是否成功保存Cookie。

内容的提问来源于stack exchange，提问作者Jaehyuk Chang