如何为WebLogic Server会话Cookie添加Partitioned属性并解决iframe重复生成问题

要解决iframe中浏览器阻止第三方Cookie时WebLogic反复生成新会话的问题，需确保Cookie属性配置完整且符合浏览器规则，以下是具体方案：

1. 完整配置Cookie属性（WebLogic 12.2.1.4+） #

WebLogic 12.2.1.4及以上版本支持直接在weblogic.xml中配置关键属性，这是最直接的解决方式：

<session-descriptor>
  <!-- 开启HttpOnly增强安全性 -->
  <cookie-http-only>true</cookie-http-only>
  <!-- 必须开启Secure，因为SameSite=None要求Cookie仅通过HTTPS传输 -->
  <cookie-secure>true</cookie-secure>
  <!-- 设置SameSite为None，允许跨域/iframe场景下传递Cookie -->
  <cookie-same-site>None</cookie-same-site>
  <!-- 添加Partitioned属性，适配浏览器第三方Cookie隔离机制 -->
  <cookie-properties>Partitioned</cookie-properties>
</session-descriptor>

注意：cookie-same-site是高版本WebLogic新增的配置项，低版本无法直接使用，需用自定义Filter替代。

2. 低版本WebLogic的兼容方案（12.2.1.3及更早） #

对于不支持直接配置SameSite的旧版本，需通过自定义Servlet Filter手动修改会话Cookie的响应头：

编写自定义Filter #

public class SessionCookieFilter implements Filter {
    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse response = (HttpServletResponse) res;
        chain.doFilter(req, response);
        
        // 遍历响应中的Cookie，修改JSESSIONID的属性
        Cookie[] cookies = response.getCookies();
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                if ("JSESSIONID".equals(cookie.getName())) {
                    String cookieHeader = String.format(
                        "JSESSIONID=%s; Domain=%s; Path=%s; HttpOnly; Secure; SameSite=None; Partitioned",
                        cookie.getValue(), cookie.getDomain(), cookie.getPath()
                    );
                    response.addHeader("Set-Cookie", cookieHeader);
                }
            }
        }
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

在web.xml中注册Filter #

确保该Filter在所有业务Filter之前执行，保证Cookie属性被优先修改：

<filter>
  <filter-name>SessionCookieFilter</filter-name>
  <filter-class>com.yourpackage.SessionCookieFilter</filter-class>
</filter>
<filter-mapping>
  <filter-name>SessionCookieFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

3. 浏览器环境验证 #

• 必须在HTTPS环境下测试：Secure属性要求Cookie仅能通过HTTPS传输，HTTP环境下浏览器会直接忽略带SameSite=None的Cookie
• 确认浏览器版本：Partitioned属性仅在Chrome 89+、Edge 89+等现代浏览器中支持，旧浏览器会忽略该属性，但不影响会话复用逻辑

4. 域名配置排查 #

• 确保Cookie的Domain属性设置正确：如果是跨域iframe场景，Domain需设置为嵌入方与被嵌入方共同的父域名；若无共同父域名，需确保SameSite=None、Secure、Partitioned三个属性同时配置
• 避免使用过于宽泛的域名（如顶级域名），否则可能触发浏览器的Cookie安全限制

内容的提问来源于stack exchange，提问作者Wilson