Okta认证应用后如何获取session？ServletFilter实现时返回空session问题

问题原因 #

你当前获取session为空的核心原因是流程逻辑顺序错误，且缺少session初始化、状态校验、授权码兑换的关键步骤：

1. 你调用httpServletRequest.getSession(false)是在跳转Okta认证之前，此时用户未完成认证、也没有提前创建session，getSession(false)本身的语义就是不存在关联session时直接返回null，自然拿不到值
2. 你使用固定的state=xyz不符合OAuth2安全规范，也没有将状态值和session绑定，回调时无法关联之前的请求上下文

调整方案 #

你需要按以下逻辑改造Filter的处理流程：

1. 调整doFilter执行顺序 #

先判断是否为Okta回调请求，再校验认证状态，无有效认证时先创建session再跳转授权页

2. 补充关键逻辑 #

• 跳转授权页前生成随机state，存入新创建的session中
• 回调时先校验state和session的关联关系，校验通过后用授权码兑换token，将用户身份信息存入session
• 兑换完成后重定向去掉URL中的授权参数，避免后续刷新重复提交code

调整后代码示例 #

@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest httpServletRequest = (HttpServletRequest) servletRequest;
    HttpServletResponse httpServletResponse = (HttpServletResponse) servletResponse;
    // 第一步：判断是否为Okta认证回调请求
    String authCode = httpServletRequest.getParameter("code");
    String callbackState = httpServletRequest.getParameter("state");
    if (authCode != null && callbackState != null) {
        // 校验state是否和之前存入session的一致
        HttpSession existedSession = httpServletRequest.getSession(false);
        if (existedSession == null || !callbackState.equals(existedSession.getAttribute("okta_oauth_state"))) {
            httpServletResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "非法请求，state校验失败");
            return;
        }
        // 此处补充授权码兑换token逻辑：用code调用Okta的token接口换取id_token、access_token，解析出用户身份信息
        // 兑换完成后将用户身份、token等信息存入session，标记为已认证
        existedSession.setAttribute("login_user", 解析后的用户对象);
        // 重定向清理URL中的code、state参数
        httpServletResponse.sendRedirect(httpServletRequest.getContextPath() + "/app");
        return;
    }
    // 第二步：校验是否已存在有效认证会话
    HttpSession currentSession = httpServletRequest.getSession(false);
    if (currentSession == null || currentSession.getAttribute("login_user") == null) {
        // 无有效会话，新建session生成随机state
        HttpSession newSession = httpServletRequest.getSession(true);
        String randomState = UUID.randomUUID().toString();
        newSession.setAttribute("okta_oauth_state", randomState);
        // 拼接授权跳转链接，使用动态生成的state
        String authUrl = "https://XXX.oktapreview.com/oauth2/default/v1/authorize?client_id=0oa1w21hrnFPT01d7&response_type=code&response_mode=query&scope=openid%20email%20profile%20groups&state=" + randomState + "&redirect_uri=http://<host>:<port>/app";
        httpServletResponse.sendRedirect(authUrl);
        return;
    }
    // 已有有效认证会话，放行请求
    chain.doFilter(servletRequest, servletResponse);
}

额外注意事项 #

• 确认你的应用服务器Session Cookie配置正确：如果是HTTP访问，不要将Cookie的SameSite属性设为Strict/Lax，否则浏览器跨站跳转后不会携带Session Cookie，导致回调时找不到之前的会话，建议生产环境统一使用HTTPS访问
• Filter拦截路径不要覆盖静态资源、错误页等无需认证的路径，避免出现循环跳转
• Primefaces的AJAX请求要单独适配，如果是异步请求触发认证跳转，需要配合前端做页面跳转处理，不要直接返回重定向给AJAX请求

内容的提问来源于stack exchange，提问作者AAPJ