Spring Security登出时如何配置CORS以实现Cookie传递？

你的问题核心是跨域请求时前端未携带Cookie，导致后端无法获取JWT令牌完成登出逻辑。Postman正常是因为它默认自动携带同域名Cookie，而前端需要显式配置，同时后端Cookie属性也需配合调整。以下是具体修复步骤：

1. 修正Axios请求配置错误 #

你当前的Axios代码错误地将withCredentials: true作为请求体参数传递，正确做法是将其放入请求配置项中，同时确保接口路径完整：

async function handleLogout() {
    await axios
        .post(
            "/api/v1/auth/logout",  // 使用完整接口路径，避免相对路径错误
            {},  // 登出接口无需请求体，传空对象
            { withCredentials: true }  // 正确位置：请求配置参数
        )
        .then(response => {
            setAuth(false)
            navigate("/")
        })
}

2. 调整Cookie的SameSite属性 #

现代浏览器默认对跨域Cookie设置SameSite=Lax，会阻止跨域请求携带Cookie。需要在后端清除Cookie时显式设置SameSite=None：

@Service
class LogoutServiceImpl(
    val tokenRepository: TokenRepository
): LogoutHandler {
    @Value("\${app.security.jwt.access-token.path}")
    private lateinit var accessPath: String
    @Value("\${app.security.jwt.refresh-token.path}")
    private lateinit var refreshPath: String
    override fun logout(
        request: HttpServletRequest?,
        response: HttpServletResponse?,
        authentication: Authentication?
    ) {
        if (request?.cookies == null) return

        val jwtCookies = request
            .cookies
            .filter { cookie -> cookie.name == "jwt-access" || cookie.name == "jwt-refresh" }
        val storedJwt = jwtCookies
            .map { cookie -> tokenRepository.findByToken(cookie.value) }
        for (storedToken in storedJwt) {
            if (storedToken != null) {
                storedToken.expired = true
                storedToken.revoked = true
                tokenRepository.save(storedToken)
            }
        }

        val jwtAccess = Cookie("jwt-access", "")
        jwtAccess.path = accessPath
        jwtAccess.maxAge = 0
        jwtAccess.sameSite = Cookie.SameSite.NONE.value
        // 生产环境HTTPS下必须设置secure属性
        // jwtAccess.secure = true

        val jwtRefresh = Cookie("jwt-refresh", "")
        jwtRefresh.path = refreshPath
        jwtRefresh.maxAge = 0
        jwtRefresh.sameSite = Cookie.SameSite.NONE.value
        // jwtRefresh.secure = true
        
        response?.addCookie(jwtAccess)
        response?.addCookie(jwtRefresh)
    }
}

注意：本地HTTP开发环境中，部分浏览器允许SameSite=None不设置secure，但生产环境必须启用HTTPS并添加secure属性，否则Cookie会被浏览器拒绝。

3. 确认CORS配置有效性 #

你的CORS配置已正确设置allowCredentials = true和指定Origin，需注意两点：

• allowedOrigins不能使用通配符*，必须明确指定前端地址（你已设置为http://localhost:3000，符合要求）
• 确保Spring Security的.cors()配置优先级高于其他CORS过滤器，避免冲突

4. 验证请求状态 #

在浏览器开发者工具的Network标签中查看登出请求的Request Headers：

• 若没有Cookie字段，说明前端withCredentials配置仍有问题
• 若有Cookie字段但后端未处理，检查JwtAuthFilter是否正确解析Cookie中的令牌

内容的提问来源于stack exchange，提问作者Kikorik