使用CookieClient验证Cookie中的JWT未触发JwtAuthenticator，请求排查

技术栈版本 #

• javalin: 5.6.3
• javalin-pac4j: 7.0.0-SNAPSHOT
• pac4j-http, pac4j-jwt, pac4j-core: 6.0.0-RC10

问题描述 #

配置CookieClient保护/form1路径时，JwtAuthenticator未触发，JWT未被验证；但使用HeaderClient通过Authorization Bearer Token调用/form1时可正常工作。

错误原因分析 #

核心问题是生成JWT后未将其写入浏览器Cookie：
你的代码仅将JWT Token传入模板渲染，但未通过HTTP响应头设置Cookie，导致浏览器不会存储名为jwtToken的Cookie。当访问/form1时，请求中没有携带该Cookie，CookieClient无法提取到凭证，因此不会触发JwtAuthenticator的验证逻辑。

修复方案 #

1. 生成JWT后主动设置Cookie #

在protectedPage0方法中，生成Token后添加Cookie设置逻辑，确保浏览器存储该Cookie：

private static void protectedPage0(Context ctx, Config config) {
   ProfileManager manager = new ProfileManager(new JEEContext(ctx.req(), ctx.res()), new JEESessionStore());
   Optional<CommonProfile> profile = manager.getProfile(CommonProfile.class);
   String token = "";
   if (profile.isPresent()) {
     JwtGenerator generator = new JwtGenerator();
     token = generator.generate(profile.get());
     // 关键：将Token写入Cookie，路径设为"/"确保全应用可访问
     ctx.cookie("jwtToken", token, "/");
     // 可选：根据需求设置Cookie的HttpOnly、Secure、过期时间等属性
     // ctx.cookie("jwtToken", token, "/", 3600, true, true);
   }

   Map<String, Object> model = new HashMap<>();
   model.put("jwtToken", token);

   ctx.render("html/pages/welcome0", model);
}

2. 验证CookieClient配置正确性 #

确认CookieClient的构造参数正确关联了JwtAuthenticator，你的现有代码这部分是正确的：

CookieClient cookieClient = new CookieClient("jwtToken", new JwtAuthenticator());
Clients clients = new Clients("http://localhost:7070/welcome", cookieClient);
Config config = new Config(clients);

注意：确保JwtAuthenticator的配置（如签名密钥）与JwtGenerator完全一致，否则即使提取到Token也会验证失败。

3. 检查Cookie属性（可选） #

根据业务需求调整Cookie的属性：

• HttpOnly: 防止XSS攻击，建议开启
• Secure: 仅在HTTPS请求中携带Cookie，生产环境建议开启
• Max-Age: 设置Cookie有效期，避免永久有效

验证修复 #

1. 访问/form0完成认证，此时浏览器会收到jwtToken Cookie
2. 访问/form1时，浏览器会自动携带该Cookie，CookieClient将提取Token并触发JwtAuthenticator进行验证

内容的提问来源于stack exchange，提问作者tasosioan7