Spring Security中JWT存入Cookie后刷新页面认证失效问题求助

针对你刷新页面后认证失效、Cookie被清除的问题，结合提供的代码，以下是具体排查方向和修复方案：

1. 优先排查Cookie的Secure属性问题 #

你在CookieUtil的setAccessToken和setRefreshToken方法中设置了secure(true)，该属性要求仅在HTTPS连接下浏览器才会保存Cookie。如果你的开发环境是HTTP（比如http://localhost:8080），浏览器会直接忽略这类Cookie，导致刷新页面后Cookie完全消失，自然触发认证失效。

修复方案：
通过环境配置区分开发与生产环境，开发时关闭Secure属性：

// 注入Environment对象
private final Environment environment;

// 修改setAccessToken方法的secure配置
.secure(!"dev".equals(environment.getProperty("spring.profiles.active")))

或者开发阶段直接注释掉secure(true)，上线前再恢复。

2. JwtRequestFilter未验证Token有效性 #

当前authenticate方法仅提取Token中的邮箱和角色，未验证Token是否过期、签名是否合法。这些验证逻辑会在getAllClaimsFromToken中抛出异常，但你仅捕获异常打日志，未做任何后续处理。如果Token已过期，既不会清除无效Cookie，也不会设置认证上下文，导致刷新后Cookie存在但Token无效，认证失败。

修复方案：
在authenticate方法中主动验证Token有效性，异常时可清除无效Cookie：

private void authenticate(String token, HttpServletRequest request) {
    try {
        Claims claims = jwtUtil.getAllClaimsFromToken(token);
        // 验证Token是否过期
        if (claims.getExpiration().before(new Date())) {
            log.error("Token已过期");
            // 清除无效的Access Token Cookie
            HttpServletResponse response = (HttpServletResponse) request.getAttribute("javax.servlet.httpServletResponse");
            if (response != null) {
                cookieUtil.clearAccessToken(response);
            }
            return;
        }
        
        String email = claims.getSubject();
        if (email == null) {
            return;
        }

        Collection<? extends GrantedAuthority> authorities =
                jwtUtil.getRolesFromToken(token)
                        .stream()
                        .map(SimpleGrantedAuthority::new)
                        .collect(Collectors.toList());

        if (SecurityContextHolder.getContext().getAuthentication() == null) {
            UsernamePasswordAuthenticationToken authenticationToken =
                    new UsernamePasswordAuthenticationToken(email, null, authorities);
            authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
            SecurityContextHolder.getContext().setAuthentication(authenticationToken);
        }
    } catch (SignatureException | MalformedJwtException | ExpiredJwtException e) {
        log.error("Token验证失败: {}", e.getMessage());
        // 清除无效Cookie
        HttpServletResponse response = (HttpServletResponse) request.getAttribute("javax.servlet.httpServletResponse");
        if (response != null) {
            cookieUtil.clearAccessToken(response);
            cookieUtil.clearRefreshToken(response);
        }
    }
}

3. SameSite属性与Secure的兼容性问题 #

你设置了sameSite("None")，该属性必须与secure(true)配合使用才会生效，但在HTTP环境下，浏览器会拒绝保存同时设置SameSite=None和Secure的Cookie，这也是刷新后Cookie消失的常见原因。

修复方案：
开发环境将SameSite改为Lax或Strict：

.sameSite("dev".equals(environment.getProperty("spring.profiles.active")) ? "Lax" : "None")

4. 验证Cookie的实际保存状态 #

打开浏览器开发者工具（F12），进入Application -> Cookies，检查是否存在access_token和refresh_token：

• 如果Cookie不存在：重点排查Secure、SameSite属性及HTTPS环境问题；
• 如果Cookie存在但刷新后消失：检查maxAge计算是否正确（可打印jwtUtil.getMaxAge(token)的值），或是否有其他拦截器/过滤器在刷新时清除了Cookie。

内容的提问来源于stack exchange，提问作者Shashy