Spring Boot+Hazelcast配置Secure/HttpOnly Cookie失效问题求助

我之前在Spring Boot 2.x + Hazelcast 3.x的技术栈里遇到过一模一样的问题，排查后发现是Hazelcast 3.11的WebFilter在和Spring Boot整合时，对Cookie属性的读取逻辑存在一些小坑，再加上Tomcat默认行为的干扰，导致配置的属性没生效。给你几个可行的解决思路：

1. 先确认测试环境是否为HTTPS #

首先要注意：secure=true的Cookie只能在HTTPS连接下生效，如果你的测试环境是HTTP协议，浏览器会自动忽略这个属性，不会在响应头里设置。如果是本地开发用HTTP，那这个现象是正常的，换成HTTPS环境再测试看看。

2. 扩展Hazelcast WebFilter，强制设置Cookie属性 #

Hazelcast 3.11的WebFilter默认的Cookie创建逻辑可能没有正确读取cookie-secure和cookie-http-only配置，最稳妥的办法是自定义Filter继承它，重写Cookie创建方法：

import com.hazelcast.web.WebFilter;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import java.util.Properties;

public class CustomHazelcastSessionFilter extends WebFilter {
    public CustomHazelcastSessionFilter(Properties properties) {
        super(properties);
    }

    @Override
    protected Cookie createCookie(HttpServletRequest request, String sessionId) {
        Cookie cookie = super.createCookie(request, sessionId);
        // 强制设置Secure和HttpOnly属性
        cookie.setSecure(true);
        cookie.setHttpOnly(true);
        // 保留父类设置的其他属性（比如path）
        return cookie;
    }
}

然后把原来的WebFilter Bean替换成自定义的：

@Bean
public WebFilter webFilter(HazelcastInstance hazelcastInstance) {
    Properties properties = new Properties();
    properties.put("instance-name", hazelcastInstance.getName());
    properties.put("sticky-session", "false");
    properties.put("map-name", "httpSessions");
    properties.put("cookie-path", "/");
    // 保留原配置作为 fallback，也可以直接在自定义Filter里硬编码
    properties.put("cookie-secure", true);
    properties.put("cookie-http-only", true);
    return new CustomHazelcastSessionFilter(properties);
}

3. 检查Tomcat全局Cookie配置是否冲突 #

Spring Boot里如果设置了全局的session Cookie属性，可能会和Hazelcast的配置冲突。检查你的application.properties或application.yml里有没有类似以下配置：

server.servlet.session.cookie.secure=false
server.servlet.session.cookie.http-only=false

如果有，要么删除这些全局配置，要么确保它们和Hazelcast的配置一致，避免被覆盖。

4. 验证Hazelcast配置是否正确加载 #

可以在启动时打印Hazelcast的配置，确认cookie-secure和cookie-http-only是否被正确读取：

@Bean
public WebFilter webFilter(HazelcastInstance hazelcastInstance) {
    Properties properties = new Properties();
    // ... 你的配置 ...
    System.out.println("Hazelcast WebFilter properties: " + properties); // 打印配置
    return new CustomHazelcastSessionFilter(properties);
}

如果配置没有被正确加载，检查是否有其他地方覆盖了这些属性。

按照上面的步骤处理后，应该就能让Hazelcast的hazelcast.sessionId Cookie正确带上Secure和HttpOnly属性了。

内容的提问来源于stack exchange，提问作者ttux