Spring Boot浏览器Cookie缺失求助：重定向后Cookie未存入存储

前端调用backend/gicar接口后，后端返回307 Temporary Redirect响应，已将Cookie的httpOnly设为false，浏览器能在响应头中看到Set-Cookie，但Cookie并未存入浏览器的Cookie存储中。

相关代码如下：

Cookie构建方法 #

/**
 * Build cookie with name to carry content 
 */
private ResponseCookie buildCookie(String cookieName, String cookieContent, String site) {
    ResponseCookie accessTokenCookie = ResponseCookie.from(
        cookieName,
        cookieContent
    )
    .httpOnly(false)
    .secure(false)
    .domain(site)
    .path("/")
    .sameSite("Lax")
    .maxAge(Duration.ofSeconds(30))
    .build();

    return accessTokenCookie;
}

接口处理代码 #

/**
* Tries to extract header looking up {@link GicarController.GICAR_ID_HEADER} from {@code request}.
* @param request
* @return Value of {@code gicarHeader}. Otherwise, {@code ""}
    * @throws GitException
    * @throws IOException 
*/
@GetMapping("/gicar")
public ResponseEntity<Void> gicar(
    @NonNull @RequestHeader(GICAR_ID_HEADER) String gicarId,
    HttpServletResponse response
) throws GitException, IOException {
    Usuari usuari = this.authenticationService.getByCodi(gicarId).orElse(null);

    if (null != usuari) {
        List<String> scopes = new ArrayList<>();
        for (PermisUsuari permisUsuari : usuari.getPermisos()) {
            String instrument = permisUsuari.getInstrument().getCodi().toLowerCase();
            String rol = permisUsuari.getRol().getCodi().toLowerCase();

            scopes.add(String.join(".", instrument, rol));
        }

        ResponseCookie accessTokenCookie = this.buildCookie(
            COOKIE_ACCESS_TOKEN,
            this.jwtProvider.generate(gicarId, scopes),
            this.redirectionURI.getHost()
        );
        
        return ResponseEntity
            .status(HttpStatus.TEMPORARY_REDIRECT)
            .header(HttpHeaders.LOCATION, redirectionURI.toString())
            .header(HttpHeaders.SET_COOKIE, accessTokenCookie.toString())
            .build();
    }
    else {
        throw GitException.builder()
            .reason(GitReason.SERVICE_SECURITY_USER_NOTFOUND)
            .build();
    }
}

问题原因分析 #

1. Domain配置不匹配 #

浏览器对Cookie的Domain属性有严格匹配规则：

• 如果设置的Domain与当前页面（或重定向目标页面）的域名不匹配（比如前端是localhost:3000，后端设为localhost不带端口），浏览器会拒绝存储Cookie；
• 跨域场景下，Domain设置错误会直接导致Cookie无法被识别。

2. 跨域请求未配置Credentials #

若前端通过AJAX/fetch发起跨域请求，默认不会处理响应中的Set-Cookie头，必须显式开启Credentials配置，否则浏览器会忽略Cookie。

3. SameSite与Secure属性冲突 #

• 跨域重定向场景下，SameSite=Lax可能被浏览器限制；
• 若前端页面为HTTPS协议，Cookie的secure设为false时，浏览器会拒绝存储（HTTPS页面要求Cookie必须为Secure类型）。

4. Set-Cookie头格式错误 #

若响应头中的Set-Cookie格式不符合RFC规范（比如属性分隔错误、值包含非法字符），浏览器也会忽略该Cookie。

解决办法 #

1. 修正Domain配置 #

• 本地开发场景：直接移除.domain(site)配置，让浏览器自动使用当前请求的完整域名（包含端口），避免手动设置导致的不匹配：

  private ResponseCookie buildCookie(String cookieName, String cookieContent, String site) {
      ResponseCookie accessTokenCookie = ResponseCookie.from(
          cookieName,
          cookieContent
      )
      .httpOnly(false)
      .secure(false)
      // .domain(site) 注释或移除该行
      .path("/")
      .sameSite("Lax")
      .maxAge(Duration.ofSeconds(30))
      .build();
  
      return accessTokenCookie;
  }
  

• 子域名共享场景：若前端和后端为同主域的子域名（如frontend.example.com和backend.example.com），将Domain设置为.example.com（带前缀点），确保所有子域名可共享Cookie。

2. 配置前端请求的Credentials #

• Fetch API：

  fetch('backend/gicar', {
    method: 'GET',
    headers: {
      'GICAR_ID_HEADER': 'your-gicar-id-value'
    },
    credentials: 'include' // 必须添加该配置
  });
  

• Axios：

  axios.get('backend/gicar', {
    headers: { 'GICAR_ID_HEADER': 'your-gicar-id-value' },
    withCredentials: true // 必须添加该配置
  });
  

3. 调整SameSite与Secure属性（跨域场景） #

跨域场景下，将SameSite设为None，同时开启secure=true（SameSite=None要求Cookie为Secure类型），确保HTTPS环境兼容：

private ResponseCookie buildCookie(String cookieName, String cookieContent, String site) {
    ResponseCookie accessTokenCookie = ResponseCookie.from(
        cookieName,
        cookieContent
    )
    .httpOnly(false)
    .secure(true) // HTTPS环境下必须设为true
    .domain(site)
    .path("/")
    .sameSite("None")
    .maxAge(Duration.ofSeconds(30))
    .build();

    return accessTokenCookie;
}

注意：SameSite=None仅支持Chrome 80+、Firefox 69+等现代浏览器，需兼容旧浏览器时需做降级处理。

4. 验证Set-Cookie头格式 #

在浏览器Network面板中查看响应的Set-Cookie头，确保格式符合规范，示例正确格式：

access_token=xxx; Path=/; Domain=example.com; Max-Age=30; SameSite=Lax

内容的提问来源于stack exchange，提问作者Jordi