Vue+SpringBoot问题：JSESSIONID持续变更及CSRF相关疑问

问题分析与解答 #

一、JSESSIONID持续变更的原因 #

• Cookie跨域传递错误：你前后端部署在不同系统，credentials: "same-origin"仅允许同源请求携带Cookie，跨域场景下后端接收不到JSESSIONID，自然会生成新会话。需改为credentials: "include"才能在跨域请求中携带Cookie。
• Spring Boot会话逻辑异常：检查后端是否存在主动销毁会话的代码（比如session.invalidate()），或者会话超时配置过短，也可能是Spring Security登录流程默认触发的会话重建（防止会话固定攻击）。
• 代理/跨域配置遗漏：若用Nginx代理，需确保配置了proxy_set_header Cookie $http_cookie传递Cookie，同时后端CORS配置要指定具体前端域名（不能用*）并开启Allow-Credentials。

二、JSESSIONID是否应该保持不变 #

正常场景下，只要会话未超时、未被主动销毁，且前端能正确将JSESSIONID Cookie传递到后端，JSESSIONID就会保持不变。只有当后端识别不到有效会话时，才会生成新的JSESSIONID。

三、CSRF令牌的正确使用方式 #

• 无需每次非GET请求前重新获取：同一有效会话内的CSRF令牌可复用，只有会话失效（JSESSIONID变更）时，原有令牌才会失效，此时需重新获取。
• 推荐的令牌获取时机：
  • 页面首次加载时获取一次，存储到全局状态（如Pinia）；
  • 登录成功后重新获取（登录可能触发会话重建）；
  • 检测到JSESSIONID变更时，立即更新令牌。

四、关键配置修正建议 #

1. 前端Fetch调整

   fetch('后端接口地址', {
     credentials: "include",
     // 其他配置
   })
   

2. Spring Boot CORS配置

   @Configuration
   public class CorsConfig {
       @Bean
       public CorsFilter corsFilter() {
           CorsConfiguration config = new CorsConfiguration();
           config.setAllowCredentials(true);
           config.addAllowedOriginPattern("http://你的前端域名:端口");
           config.addAllowedHeader("*");
           config.addAllowedMethod("*");
           UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
           source.registerCorsConfiguration("/**", config);
           return new CorsFilter(source);
       }
   }
   

3. Nginx代理配置（若使用）

   location /api {
       proxy_pass http://后端地址;
       proxy_set_header Host $host;
       proxy_set_header Cookie $http_cookie;
       add_header Access-Control-Allow-Credentials true;
       add_header Access-Control-Allow-Origin http://你的前端域名:端口;
   }
   

内容的提问来源于stack exchange，提问作者Olli