如何为Spring Boot Azure AD SSO登录回调URI设置SameSite=None Cookie头

我来帮你搞定这个问题！这种情况通常是因为OAuth2回调路径的Cookie设置被Spring Security的默认处理逻辑覆盖，或者自定义配置没有覆盖到这个特定路径。下面是几个可行的解决方案：

1. 自定义CookieSerializer统一处理所有路径 #

Spring Security的OAuth2客户端在处理回调请求时，会生成或操作Session Cookie，我们可以通过自定义CookieSerializer来强制所有路径（包括回调URI）应用SameSite=None属性，同时别忘了SameSite=None必须配合Secure属性（仅HTTPS环境有效，本地测试可通过ngrok或开启本地HTTPS解决）。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.session.web.http.CookieSerializer;
import org.springframework.session.web.http.DefaultCookieSerializer;

@Configuration
public class CookieConfiguration {

    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        // 设置SameSite属性
        serializer.setSameSite("None");
        // 必须开启Secure，否则SameSite=None不会生效
        serializer.setSecure(true);
        // 设置Cookie路径为根，确保所有URI都继承该配置
        serializer.setCookiePath("/");
        // 可选：如果需要针对特定路径做额外配置，可在这里扩展逻辑
        return serializer;
    }
}

2. 确保Spring Security OAuth2配置不覆盖Cookie设置 #

检查你的SecurityFilterChain配置，确保回调路径的处理没有单独修改Cookie策略，同时让Session管理使用我们自定义的Serializer：

import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2Login(oauth2 -> oauth2
                .redirectionEndpoint(endpoint -> endpoint.baseUri("/login/oauth2/code/*"))
            )
            .sessionManagement(session -> session
                // 确保Session使用自定义的CookieSerializer配置
                .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
            );
        return http.build();
    }
}

3. 排查其他可能的干扰因素 #

• HTTPS验证：SameSite=None要求Cookie必须是Secure类型，所以你的应用必须部署在HTTPS环境下（本地测试可以用ngrok转发，或者配置Spring Boot开启本地HTTPS）。
• 第三方过滤器/拦截器：检查是否有自定义Filter或第三方库在处理回调请求时修改了Cookie头，可以通过调试OAuth2LoginAuthenticationFilter来跟踪Cookie的设置流程。
• Azure AD应用注册配置：确认回调URI在Azure AD应用注册中已正确配置，且和Spring Boot中的redirect-uri完全匹配。

内容的提问来源于stack exchange，提问作者Prashant Yadav