Chrome 91及更高版本下SameSite=Strict默认规则下第三方Cookie传递及Java应用会话过期问题解决求助

我之前刚好处理过类似的场景，Chrome 91开始对SameSite=None; Secure格式的Cookie新增了更严格的校验规则，这直接导致很多之前正常的配置失效。下面给你几个针对Java Web应用的可行解决方案：

先搞懂Chrome 91的核心变化 #

Chrome 91及更高版本对SameSite=None的Cookie有几个硬性要求，少一个都不行：

• 必须同时设置Secure属性（仅在HTTPS环境下生效，本地测试可以用自签名证书或者Chrome调试参数绕过，但生产环境必须HTTPS）
• SameSite=None; Secure的格式必须完全合规：分号后面必须跟一个空格，不能有多余的字符或拼写错误（比如把None写成小写none也不行）
• 如果设置了Domain属性，不能是公共后缀（比如herokuapp.com、github.io这类），否则浏览器会直接拒绝存储这个Cookie

Java端具体配置方案 #

1. 原生Servlet API（Java EE/Jakarta EE） #

如果你的应用直接用Servlet API，分两种情况处理：

• Jakarta EE 9+（比如Tomcat 10+）：有原生的setSameSite方法，代码更简洁：

Cookie sessionCookie = new Cookie("JSESSIONID", request.getSession().getId());
sessionCookie.setSecure(true);
sessionCookie.setHttpOnly(true); // 建议加上，提升安全性
sessionCookie.setSameSite(Cookie.SameSite.NONE); // 原生枚举值，避免拼写错误
response.addCookie(sessionCookie);

• 旧版Java EE（比如Tomcat 9及以下）：没有原生setSameSite方法，需要用setAttribute来设置，同时确保你的容器版本支持（Tomcat 9.0.41+、Jetty 9.4.38+已经支持该属性）：

Cookie sessionCookie = new Cookie("JSESSIONID", request.getSession().getId());
sessionCookie.setSecure(true);
sessionCookie.setHttpOnly(true);
sessionCookie.setAttribute("SameSite", "None"); // 注意首字母大写
response.addCookie(sessionCookie);

2. Spring Boot应用 #

Spring Boot提供了更便捷的配置方式，两种选择：

• 方式一：配置文件直接设置
  在application.properties（或application.yml）里添加：

# 会话Cookie配置
server.servlet.session.cookie.same-site=None
server.servlet.session.cookie.secure=true
server.servlet.session.cookie.http-only=true

• 方式二：自定义CookieSerializer（更灵活）
  如果需要更精细的控制（比如自定义Cookie名称、Domain等），可以创建配置类：

@Configuration
public class SessionCookieConfig {
    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        serializer.setSameSite("None");
        serializer.setSecure(true);
        serializer.setHttpOnly(true);
        // 可选：设置Cookie名称、Domain、Path等
        // serializer.setCookieName("MY_SESSION_ID");
        // serializer.setDomainName("your-domain.com");
        return serializer;
    }
}

必做的排查步骤 #

1. 清除旧Cookie：Chrome会缓存之前的Cookie设置，先手动清除浏览器中你的应用相关的Cookie，再测试
2. 用开发者工具验证：打开Chrome DevTools -> Application -> Cookies，查看你的会话Cookie的SameSite和Secure属性是否正确，有没有黄色警告（警告会直接告诉你哪里不符合规范）
3. 检查是否有配置冲突：确保你的应用中没有其他地方覆盖了Cookie的SameSite设置（比如过滤器、拦截器里的代码）
4. 确认HTTPS环境：生产环境必须用HTTPS，本地测试可以用Spring Boot的自签名证书启动，或者给Chrome加--unsafely-treat-insecure-origin-as-secure=http://localhost:8080参数绕过Secure校验

内容的提问来源于stack exchange，提问作者Alex