Spring Security跨应用基于Session的后端认证实现问题咨询

你的现有实现出现Session不生效的核心问题出在Cookie解析和回写的完整性、属性匹配上，常见错误点如下：

• 仅提取了Set-Cookie头中的键值对，丢失了Spring Session默认携带的SameSite、Secure、Max-Age、Path、Domain等关键属性，浏览器会因为属性不匹配拒绝存储Cookie，或者后续请求不携带该Cookie到后端服务
• 未确认Cookie的Domain、Path配置是否符合浏览器的同源规则，若托管Angular的服务和后端认证服务域名不同，错误的Domain配置会导致Cookie无法被正确携带
• 缺少将生成的Cookie正确写入返回给浏览器的响应对象的逻辑，仅构造Cookie对象不会生效

方案1：完整解析+回写Cookie（无需修改现有架构） #

第一步：修正Cookie解析逻辑，使用Spring自带工具处理Set-Cookie头，避免手动拆分丢失属性 #

import org.springframework.http.ResponseCookie;
import org.springframework.http.ResponseEntity;
import java.util.List;

private List<ResponseCookie> parseAuthCookies(ResponseEntity<?> authResponse) {
    // 直接读取响应中所有Set-Cookie配置，无需手动拆分
    return authResponse.getHeaders().getSetCookies()
            .stream()
            // 过滤出Spring Session对应的SESSION Cookie，可根据实际Cookie名调整
            .filter(cookie -> "SESSION".equals(cookie.getName()))
            .toList();
}

第二步：在控制器中完整回写Cookie到浏览器响应，再执行重定向 #

@PostMapping("/do-auth")
public String auth(HttpServletResponse httpServletResponse) {
    // 1. 用RestTemplate调用后端认证接口，替换为你实际的认证请求逻辑
    ResponseEntity<?> authResponse = restTemplate.postForEntity(
            "后端认证接口地址",
            认证参数,
            Object.class
    );
    
    // 2. 解析认证响应中的Cookie
    List<ResponseCookie> cookies = parseAuthCookies(authResponse);
    for (ResponseCookie cookie : cookies) {
        // 调整Domain为后端服务和Angular页面共有的父域名，例如后端是api.xxx.com、前端是www.xxx.com时填xxx.com
        String sharedDomain = "你实际的共有域名";
        ResponseCookie finalCookie = ResponseCookie.from(cookie.getName(), cookie.getValue())
                .httpOnly(cookie.isHttpOnly())
                // 本地调试用http时请设置为false，生产环境https设为true
                .secure(true)
                .path(cookie.getPath())
                .domain(sharedDomain)
                .sameSite(cookie.getSameSite())
                .maxAge(cookie.getMaxAge())
                .build();
        // 把完整的Cookie配置写到给浏览器的响应头
        httpServletResponse.addHeader(HttpHeaders.SET_COOKIE, finalCookie.toString());
    }
    
    // 3. 重定向到Angular应用根路径
    return "redirect:/";
}

第三步：调整RestTemplate配置，避免自动跟随重定向丢失认证响应头 #

@Bean
public RestTemplate restTemplate() {
    SimpleClientHttpRequestFactory factory = new SimpleClientHttpRequestFactory();
    // 认证接口若返回302不要自动跟随，确保能拿到完整的认证响应头
    factory.setFollowRedirects(false);
    return new RestTemplate(factory);
}

方案2：共享Session存储（更稳定，推荐） #

如果两个Spring Boot服务属于同一业务体系，可以让两个服务连接同一个Spring Session存储（比如Redis），托管Angular的服务也整合Spring Session认证能力，认证成功后直接在服务端同步Session状态，不需要手动处理Cookie传递，避免前端Cookie规则带来的兼容性问题。

• 本地http调试时不要开启Cookie的Secure属性，否则浏览器不会存储该Cookie
• 跨站场景下SameSite需要设置为None，且必须同时开启Secure属性
• 确认后端认证服务的Session过期时间和Cookie的MaxAge保持一致，避免Cookie有效但Session已失效的问题

内容的提问来源于stack exchange，提问作者evfenyt