如何为javax.servlet.http.Cookie指定SameSite属性值

根据你使用的Servlet版本，有两种不同的实现方式：

1. Servlet 4.0及以上版本（如Tomcat 9.0+、Jetty 11+） #

Servlet 4.0规范原生支持Cookie的SameSite属性，直接调用setSameSite方法即可：

import javax.servlet.http.Cookie;

// 初始化Cookie对象
Cookie cookie = new Cookie(name, value);
cookie.setMaxAge(someValue);

// 设置SameSite属性，可选值为 Strict、Lax、None
cookie.setSameSite("Strict");

// 若设置为None，必须同时开启Secure属性（仅HTTPS环境有效）
if ("None".equals(cookie.getSameSite())) {
    cookie.setSecure(true);
}

2. Servlet 4.0以下版本 #

低版本Servlet的Cookie类没有原生的SameSite设置方法，需要手动拼接Set-Cookie响应头：

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

// 初始化Cookie对象
Cookie cookie = new Cookie(name, value);
cookie.setMaxAge(someValue);

// 构建包含SameSite的Cookie响应头字符串
StringBuilder cookieHeader = new StringBuilder();
cookieHeader.append(cookie.getName()).append("=").append(cookie.getValue());
cookieHeader.append("; Max-Age=").append(cookie.getMaxAge());
cookieHeader.append("; SameSite=Lax"); // 替换为你需要的属性值

// 若需要Secure或HttpOnly属性，按需添加
if (cookie.getSecure()) {
    cookieHeader.append("; Secure");
}
if (cookie.isHttpOnly()) {
    cookieHeader.append("; HttpOnly");
}

// 将自定义头添加到HTTP响应中
response.addHeader("Set-Cookie", cookieHeader.toString());

注意事项 #

• SameSite属性的三个可选值：
  • Strict：严格模式，任何跨站请求都不会携带该Cookie
  • Lax：宽松模式，仅允许安全的跨站GET请求携带Cookie，是多数浏览器的默认行为
  • None：允许跨站请求携带Cookie，但必须搭配Secure属性，仅在HTTPS环境下生效
• 手动拼接响应头时，要确保格式符合HTTP规范，避免因语法错误导致Cookie无法生效

内容的提问来源于stack exchange，提问作者res1