Spring Security认证响应缺失Set-cookie header问题排查

针对你遇到的登录请求返回200但无Set-Cookie、无法获取jsessionid的问题，可从以下几个配置点排查修复：

• 检查Session启用状态
  确保application.yml或application.properties中未禁用session：

  # 不能设置为none，否则会禁用session
  # spring.session.store-type=none
  # 保留默认或设置为内存/jdbc等存储类型
  spring.session.store-type=memory
  

• 调整Security会话创建策略
  在WebSecurityConfig.kt的configure(HttpSecurity)方法中，确保会话创建策略不是STATELESS（无状态模式不会生成session）：

  override fun configure(http: HttpSecurity) {
      http
          // ... 其他认证、授权配置
          .sessionManagement { session ->
              // 仅在需要时创建会话，这是默认值，但需显式确认
              session.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
          }
  }
  

• 自定义过滤器中触发会话创建
  在你的ApiUsernamePasswordAuthenticationFilter认证成功逻辑中，可主动获取HttpSession强制创建会话：

  override fun successfulAuthentication(
      request: HttpServletRequest,
      response: HttpServletResponse,
      chain: FilterChain,
      authResult: Authentication
  ) {
      // 设置认证上下文
      SecurityContextHolder.getContext().authentication = authResult
      // 强制创建session，触发Set-Cookie响应头
      request.getSession(true)
      // 后续业务逻辑...
  }
  

• 检查Servlet会话跟踪配置
  确认未禁用Cookie形式的会话跟踪：

  # 确保会话跟踪模式包含COOKIE
  server.servlet.session.tracking-modes=COOKIE
  

• 跨域场景额外配置（若涉及）
  如果是跨域API调用，需在CORS配置中允许携带凭证，同时前端请求需开启withCredentials: true：

  http.cors { cors ->
      cors.configurationSource {
          CorsConfiguration().apply {
              allowedOrigins = listOf("https://your-frontend-domain.com")
              allowedMethods = CorsConfiguration.ALL
              allowedHeaders = CorsConfiguration.ALL
              allowCredentials = true // 必须开启，否则浏览器不会保存cookie
          }
      }
  }
  

内容的提问来源于stack exchange，提问作者lipsum