Spring Security与Spring Session使用不同Cookie的配置调整问询

要让Spring Security和Spring Session共用同一个Cookie，核心是让Spring Session使用原本的JSESSIONID作为Cookie名称，替代它默认的SESSION，同时确保Spring Security使用Spring Session接管的会话管理，具体步骤如下：

1. 修改Spring Session的Cookie名称为JSESSIONID #

Spring Session默认会生成名为SESSION的Cookie，我们需要把它改成和容器（如Tomcat）默认的JSESSIONID一致，这样就不会生成两个不同的Cookie。

方式一：通过配置文件设置 #

在application.yml或application.properties中添加配置：

spring:
  session:
    cookie:
      name: JSESSIONID

或者properties格式：

spring.session.cookie.name=JSESSIONID

方式二：通过Java配置类自定义CookieSerializer #

如果需要更精细的Cookie配置（比如路径、域、HttpOnly属性等），可以定义CookieSerializer Bean：

@Bean
public CookieSerializer cookieSerializer() {
    DefaultCookieSerializer serializer = new DefaultCookieSerializer();
    serializer.setCookieName("JSESSIONID");
    serializer.setCookiePath("/"); // 设置Cookie作用路径，根据实际需求调整
    serializer.setHttpOnly(true); // 开启HttpOnly增强安全性
    // 可按需添加其他配置，比如setDomain、setMaxAge等
    return serializer;
}

2. 确保Spring Security使用Spring Session的会话管理 #

引入@EnableRedisHttpSession后，Spring Session会自动接管容器的会话管理，也可以在SecurityFilterChain中显式配置会话策略，确保一致性：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http.csrf().disable()
        .cors()
        .and()
        .authorizeRequests()
        .anyRequest().authenticated()
        .and()
        .httpBasic()
        .and()
        .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED); // 按需创建会话，默认值，可根据业务调整
    return http.build();
}

原理说明 #

当Spring Session的Cookie名称改为JSESSIONID后，它会覆盖容器原本生成的同名称Cookie，Spring Security在处理认证和会话跟踪时，会直接使用Spring Session管理的这个Cookie，从而避免同时出现JSESSIONID和SESSION两个Cookie的情况。

注意：如果客户端之前已经存储了旧的SESSION Cookie，可能需要清理浏览器缓存或设置Cookie的过期策略让旧Cookie失效。

内容的提问来源于stack exchange，提问作者italktothewind