Quarkus 3升级遇OIDC会话Cookie 4KB限制，求解相关疑问

为什么Quarkus 3默认启用Cookie加密？ #

TLS仅加密传输过程中的HTTP头，但Cookie会被明文存储在用户浏览器本地。启用加密的核心原因是：

• 防止客户端篡改Cookie内容：你提到令牌包含角色信息，如果Cookie明文存储，用户可直接修改令牌中的角色字段，非法提升权限，这是严重的安全漏洞。
• 规避敏感信息泄露风险：令牌本身可能包含用户ID、邮箱等敏感数据，明文存储在客户端，若设备被他人使用，存在数据泄露隐患。

关于“不加密Cookie是否可行”的判断 #

如果你的业务场景能完全接受以下风险，确实可以关闭Cookie加密：

• 客户端本地存储的Cookie明文可被查看或篡改
• 敏感会话数据可能通过客户端设备泄露

关闭加密只需在application.properties中添加配置：

quarkus.http.session.cookie.encrypted=false

针对4KB限制的补充优化建议 #

除了你尝试的方案，还有几个相对轻量的思路：

• JWT压缩：对包含角色的JWT令牌做GZIP压缩后再存入Cookie，能有效降低体积（需在服务器端压缩，客户端接收后解压解析）。
• 轻量会话存储：用Redis等外部存储替代Cookie存储令牌，Quarkus提供了quarkus-redis-sessions扩展，无需完全自定义TokenStateManager，配置成本更低。
• 精简令牌内容：确认令牌中的角色信息是否必须全部携带，比如可只存储角色ID，在服务器端通过ID关联角色列表，减少Cookie负载。

内容的提问来源于stack exchange，提问作者kraeftbraeu