Spring OAuth授权服务器与客户端域名及Session Cookie异常问题咨询

一、同域多端口下Session Cookie被覆盖的问题 #

问题原因 #

同域名下（即使端口不同），浏览器会共享相同名称的Cookie。如果BFF（服务器B）和授权服务器（服务器C）使用默认的Session Cookie名称（如JSESSIONID、connect.sid），当用户跳转至C时，C生成的Session Cookie会覆盖B设置的Cookie。此时从C重定向回B时，B拿到的是C的Session Cookie，无法找到之前会话X中存储的授权请求，从而触发「授权码请求未找到」错误。

解决方法 #

• 为不同服务配置独立的Session Cookie名称：比如给BFF设置CookieName=BFF_SESSIONID，授权服务器设置CookieName=AUTH_SESSIONID，避免同域下Cookie名称冲突。
• 给Cookie指定Path属性：将BFF的Cookie Path设为/bff，授权服务器的设为/auth，浏览器会根据请求路径匹配对应的Cookie，防止互相覆盖。

二、异域下双Session的问题 #

问题原因 #

浏览器的同源策略限制了跨域Cookie共享，不同域名（如zonal和authserver）会维护独立的Cookie池。前端访问BFF时携带的是B域的会话X Cookie，跳转至授权服务器C时，C会创建属于自身域的会话Y，这是浏览器的正常安全机制。

优化方案 #

• 利用state参数关联会话：在BFF发起授权请求时，将自身会话ID加密后放入state参数传递给授权服务器。C重定向回BFF时带回该state，BFF解密后即可关联到原会话X，无需依赖跨域Cookie共享。
• 替换为Token式会话：采用JWT等无状态Token替代传统Session Cookie，将Token存储在前端内存或BFF域的HttpOnly Cookie中。授权流程中，BFF通过授权码获取Token后直接验证，无需依赖会话关联。
• 配置子域共享Cookie：将授权服务器设为BFF的子域（如auth.zonal:8082），设置Cookie的Domain属性为.zonal，这样子域Cookie可被主域共享，前端访问授权服务器时会携带BFF的会话Cookie，避免生成独立会话Y。

内容的提问来源于stack exchange，提问作者loredon