Feign客户端无状态调用中Cookie被意外传播的问题排查

你观察到的Feign请求自动携带Cookie的现象，和Feign客户端为Spring容器单例的属性无直接关联，不存在跨请求的内存上下文残留，实际触发原因分为两类：

• 第一类是Spring Cloud OpenFeign 框架的默认请求头透传机制：当服务类路径存在Servlet API依赖时，框架会自动装配内置请求拦截器，从当前线程绑定的RequestContextHolder中读取入站请求的全量头信息（包括反向代理写入响应、随请求传递回来的Cookie字段），自动透传到出站的Feign请求中。你自定义的拦截器仅负责追加Bearer身份令牌，并没有拦截或移除框架自动透传的Cookie字段，因此请求会自动携带该值。
  这里需要明确：Feign单例指的是客户端代理对象为容器级唯一实例，每次调用时拦截器读取的是当前调用线程绑定的请求上下文快照，并非将Cookie存储在单例对象的成员变量中，因此不存在跨请求的内存上下文污染，和你之前的理论判断并不冲突。
• 第二类是底层HTTP客户端的自动Cookie持久化逻辑：如果Feign使用Apache HttpClient、OkHttp作为底层传输实现，客户端默认开启了Cookie管理策略，会自动将历史响应中收到的Set-Cookie值持久化到客户端内置的Cookie存储池中，后续发起的所有同目标域名的请求都会自动带上这些Cookie。这种场景下的Cookie残留和当前请求上下文无关，是底层HTTP连接池的默认行为。

• 自定义请求拦截器，显式移除自动透传的Cookie字段
  在你配置的Feign拦截器逻辑中，仅手动提取需要传递的Bearer令牌，同时主动从请求模板中移除自动透传的Cookie头，避免Cookie被带到下游请求：

  @Bean
  public RequestInterceptor customizedFeignInterceptor() {
      return template -> {
          ServletRequestAttributes requestAttrs = 
              (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
          if (requestAttrs != null) {
              HttpServletRequest currentRequest = requestAttrs.getRequest();
              // 仅提取需要传递的身份令牌
              String authHeader = currentRequest.getHeader("Authorization");
              if (StringUtils.hasText(authHeader)) {
                  template.header("Authorization", authHeader);
              }
          }
          // 主动移除透传过来的Cookie字段
          template.removeHeader("Cookie");
      };
  }
  

• 关闭底层HTTP客户端的自动Cookie管理
  如果使用Apache HttpClient作为Feign底层实现，在构建客户端时禁用Cookie持久化能力：

  @Bean
  public HttpClient feignHttpClient() {
      return HttpClients.custom()
          .disableCookieManagement()
          .build();
  }
  

  如果使用OkHttp作为底层实现，构建客户端时传入无存储能力的CookieJar实例即可。
• 全局关闭Feign的全量请求头透传
  通过框架配置项调整默认拦截器的行为，仅保留你需要的透传逻辑，避免全量复制入站请求头：

  spring:
    cloud:
      openfeign:
        auto-configuration:
          # 关闭默认的全量头透传拦截器装配
          enabled: false
  

内容的提问来源于stack exchange，提问作者Ousmane MBINTE