Chrome/Edge从外部支付页返回时JSP站点会话频繁丢失问题求助

1. 被忽略的Chromium专属SameSite拦截规则 #

你只验证了HTTPS环境，没有实际核对JSESSIONID cookie的SameSite属性实际生效值。Chrome、Edge共用的Chromium内核从80版本开始，对所有未显式声明SameSite属性的cookie，会强制套用默认的SameSite=Lax策略。
这完全匹配你描述的复现特征：

• 第三方支付的返回流程几乎不会是单次302直跳回你的站点，普遍是经过多跳服务端重定向（比如从支付主域到风控校验子域、再到对账回调子域，最后才302回你的站点）
• 按照Chromium的Lax规则，只有用户主动点击、手动输入地址触发的顶层跨站导航才会携带对应站点的cookie；如果是链路中最后一次跨站跳转是第三方服务端自动发起的302，哪怕目标是你的HTTPS站点，浏览器也会判定这次跳转不属于用户主动触发的行为，直接拦截JSESSIONID cookie的携带
• 这种多跳链路场景下，Firefox、IE11的默认SameSite规则没有这么严格，不会拦截这类请求的cookie携带，所以完全不会复现你的问题，甚至你用短链接做跳转测试也复现不了——因为你的测试链路全程是同域JS跳转，没有第三方的多跳重定向、参数解析逻辑，根本触发不了Chromium的拦截规则。

验证方式：打开Chrome开发者工具Network面板，触发一次支付返回流程，找到finishtransaction.jsp的请求，看请求头里是否携带旧的JSESSIONID cookie——你会发现出现会话丢失时，这个请求根本没带任何cookie，服务端自然会创建全新的空会话。

2. 跳转代码本身的参数解析缺陷 #

你注释写“仅对return_to参数做URL编码”，但实际代码根本没有执行编码动作：

response.sendRedirect("https://paymentservice.com/pay?token=asd&return_to=https://mywebsite.com/finishtransaction.jsp");

未编码的return_to值包含:、/这类URL保留字符，会导致第三方支付服务对参数的解析出现截断、偏移，最后拼出来的返回地址可能存在域名识别错误、路径偏移的问题。这种场景下请求根本没走到你站点的正确路径，自然匹配不上原有会话，也是你测试时复现不了问题的次要原因。

3. 对应修复思路 #

• 给JSESSIONID cookie显式配置属性：在Web容器（如Tomcat）或web.xml配置中，将会话cookie的SameSite值设置为None，同时确保Secure标记开启，适配Chromium的跨站导航cookie携带规则，不要依赖浏览器的默认策略值
• 对跳转URL中的return_to参数严格执行URL编码，保证第三方服务端能正确解析返回地址，避免参数截断、域名偏移
• 不要依赖容器默认的cookie生成逻辑，所有会话cookie的安全属性要显式声明，降低不同浏览器的默认策略差异带来的随机故障概率

内容的提问来源于stack exchange，提问作者sollniss