Spring Boot集群认证：Cookie存储令牌及刷新实现方案选型

优先推荐实现SecurityContextRepository，这是Spring Security官方设计的标准方案，更贴合框架流程，维护性和兼容性更好，尤其适合刚接触Spring Security的开发者。

两种方案的核心区别与适用场景 #

1. 实现SecurityContextRepository #

• 这是Spring Security专门用于管理SecurityContext（包含用户认证信息）持久化的接口，核心方法loadContext、saveContext、containsContext完全匹配你"从Cookie读取令牌、验证授权、保存令牌到响应"的需求。
• 框架会自动在认证流程中调用这些方法，不需要手动处理SecurityContextHolder的线程绑定、Authentication对象的创建等底层细节，减少出错概率。
• 天然支持集群场景：只要集群所有节点使用相同的令牌解密密钥，就能统一解析Cookie中的令牌，实现跨节点的认证一致性。
• 令牌刷新逻辑可以无缝集成：在loadContext方法中，若当前SecurityContext未授权，但Cookie中存在有效Refresh Token，可直接触发令牌刷新，更新Access Token后重新存入Cookie和SecurityContext。

示例代码片段（核心逻辑）：

public class CookieSecurityContextRepository implements SecurityContextRepository {
    private final JwtTokenProvider tokenProvider;

    @Override
    public SecurityContext loadContext(HttpRequestResponseHolder requestResponseHolder) {
        HttpServletRequest request = requestResponseHolder.getRequest();
        // 从Cookie读取Access Token
        String accessToken = extractTokenFromCookie(request, "access_token");
        SecurityContext context = SecurityContextHolder.createEmptyContext();
        
        if (StringUtils.hasText(accessToken) && tokenProvider.validateToken(accessToken)) {
            Authentication auth = tokenProvider.getAuthentication(accessToken);
            context.setAuthentication(auth);
        } else {
            // 尝试用Refresh Token刷新
            String refreshToken = extractTokenFromCookie(request, "refresh_token");
            if (StringUtils.hasText(refreshToken) && tokenProvider.validateRefreshToken(refreshToken)) {
                String newAccessToken = tokenProvider.refreshAccessToken(refreshToken);
                // 将新的Access Token写入响应Cookie
                addTokenToCookie(requestResponseHolder.getResponse(), "access_token", newAccessToken);
                Authentication auth = tokenProvider.getAuthentication(newAccessToken);
                context.setAuthentication(auth);
            }
        }
        return context;
    }

    @Override
    public void saveContext(SecurityContext context, HttpServletRequest request, HttpServletResponse response) {
        Authentication auth = context.getAuthentication();
        if (auth != null && auth.isAuthenticated()) {
            String accessToken = tokenProvider.generateAccessToken(auth);
            addTokenToCookie(response, "access_token", accessToken);
        }
    }

    @Override
    public boolean containsContext(HttpServletRequest request) {
        return StringUtils.hasText(extractTokenFromCookie(request, "access_token"));
    }

    // 辅助方法：从Cookie提取令牌、写入令牌到Cookie
    private String extractTokenFromCookie(HttpServletRequest request, String cookieName) {
        // 实现Cookie提取逻辑
    }

    private void addTokenToCookie(HttpServletResponse response, String cookieName, String token) {
        Cookie cookie = new Cookie(cookieName, token);
        cookie.setHttpOnly(true);
        cookie.setSecure(true);
        cookie.setSameSite("Strict");
        cookie.setPath("/");
        cookie.setMaxAge("access_token".equals(cookieName) ? 1800 : 86400); // Access Token短过期，Refresh Token长过期
        response.addCookie(cookie);
    }
}

2. 自定义过滤器方案 #

• 这种方式灵活性高，但需要手动处理Spring Security认证流程的多个环节：从Cookie取令牌、解析验证、创建Authentication对象、绑定到SecurityContextHolder，以及响应时写入令牌到Cookie。
• 容易出现兼容性问题：比如和CSRF防护、Session管理、其他Security过滤器的执行顺序冲突，需要手动调试协调，对Spring Security底层流程要求较高。
• 仅适合有特殊定制需求（比如非标准令牌格式、复杂的令牌刷新逻辑）且对Spring Security熟悉的开发者，不推荐刚入门的场景使用。

实践注意事项 #

• 配置Cookie的安全属性：务必开启HttpOnly（防止XSS窃取令牌）、Secure（仅HTTPS传输）、SameSite=Strict/Lax（降低CSRF风险），并设置合理的过期时间。
• 令牌加密：如果使用JWT，建议用对称加密（AES）或非对称加密（RSA）确保只有集群节点能解密令牌，避免令牌被篡改或泄露。
• 在Spring Security配置类中注册自定义的SecurityContextRepository：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .securityContext(context -> context
                .securityContextRepository(cookieSecurityContextRepository())
            )
            // 其他配置：授权规则、CSRF、CORS等
        ;
        return http.build();
    }

    @Bean
    public CookieSecurityContextRepository cookieSecurityContextRepository() {
        return new CookieSecurityContextRepository(jwtTokenProvider());
    }
}

内容的提问来源于stack exchange，提问作者alwaysabeginner