Spring Boot 3/Tomcat 10处理无效Cookie问题求助

问题背景 #

我们的Spring Boot 3应用在读取HTTP Cookie头时，频繁遇到如下错误：

收到包含无效Cookie的请求头[g_invalid=x";]，该Cookie将被忽略。

之前依赖Tomcat的LegacyCookieProcessor兼容Version 0 Cookie的方案已经失效，且我们不愿回退到Tomcat 9。Spring Boot 3官方文档未提供处理Version 0 Cookie的方案，Tomcat 10.1的变更日志也未提及LegacyCookieProcessor被移除的原因或替代方案，导致这类常见问题找不到官方指引。

其他开发者的实用解决办法 #

1. 自定义Tomcat Cookie处理器 #

通过自定义Tomcat的CookieProcessor，放宽Cookie的校验规则，模拟原LegacyCookieProcessor的行为：

import org.apache.tomcat.util.http.Rfc6265CookieProcessor;
import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.server.WebServerFactoryCustomizer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class TomcatCookieConfig {
    @Bean
    public WebServerFactoryCustomizer<TomcatServletWebServerFactory> cookieProcessorCustomizer() {
        return factory -> {
            factory.addContextCustomizers(context -> {
                Rfc6265CookieProcessor cookieProcessor = new Rfc6265CookieProcessor();
                // 允许Cookie值中包含引号等特殊字符
                cookieProcessor.setAllowEqualsInValue(true);
                cookieProcessor.setAllowNameOnlyTokens(false);
                context.setCookieProcessor(cookieProcessor);
            });
        };
    }
}

根据实际无效Cookie的特征，调整Rfc6265CookieProcessor的参数，比如开启allowEqualsInValue、allowNameOnlyTokens等开关，适配旧版Cookie格式。

2. 前置过滤器预处理Cookie头 #

在请求到达Spring MVC之前，通过过滤器修改Cookie头，清理或修正无效的Cookie：

import jakarta.servlet.*;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletRequestWrapper;
import org.springframework.stereotype.Component;

import java.util.*;

@Component
public class InvalidCookieFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws Exception {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletRequestWrapper wrappedRequest = new HttpServletRequestWrapper(httpRequest) {
            @Override
            public String getHeader(String name) {
                if ("Cookie".equalsIgnoreCase(name)) {
                    String originalCookieHeader = super.getHeader(name);
                    if (originalCookieHeader != null) {
                        // 清理包含无效字符的Cookie，比如示例中的g_invalid=x";
                        return originalCookieHeader.replaceAll("g_invalid=x\";", "");
                    }
                }
                return super.getHeader(name);
            }

            @Override
            public Enumeration<String> getHeaders(String name) {
                if ("Cookie".equalsIgnoreCase(name)) {
                    String cleanedHeader = getHeader(name);
                    return cleanedHeader != null ? Collections.enumeration(Collections.singletonList(cleanedHeader)) : super.getHeaders(name);
                }
                return super.getHeaders(name);
            }
        };
        chain.doFilter(wrappedRequest, response);
    }
}

这种方式适合已知具体无效Cookie格式的场景，直接过滤掉无效部分，避免Tomcat触发错误。如果无效Cookie种类多，可以扩展正则匹配规则，批量清理不符合规范的Cookie片段。

3. 切换到Undertow服务器 #

如果Tomcat的Cookie校验规则过于严格且无法适配，可以考虑将Spring Boot的内嵌服务器切换为Undertow。Undertow对旧版Cookie的兼容性更好，默认不会严格校验Version 0 Cookie的格式。只需在pom.xml中排除Tomcat依赖，引入Undertow：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-tomcat</artifactId>
        </exclusion>
    </exclusions>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-undertow</artifactId>
</dependency>

切换后无需额外配置，即可兼容多数Version 0格式的Cookie。

内容的提问来源于stack exchange，提问作者Damo