无法获取Spring Session返回的x-auth-token响应头问题咨询

嘿，我碰到过类似的问题，结合你的技术栈（spring-session-1.3.1 + spring-boot-1.5.9 + JAX-RS），大概率是这几个原因导致你拿不到x-auth-token头，咱们一步步排查：

1. 跨域场景下的响应头未暴露（最常见） #

浏览器对跨域请求有安全限制：默认只允许前端获取简单响应头（比如Content-Type、Cache-Control），自定义头（像你的x-auth-token）需要后端明确通过Access-Control-Expose-Headers声明允许暴露。

解决办法： #

方式一：Spring Boot 全局CORS配置

创建一个CORS过滤器，明确暴露x-auth-token：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        // 根据实际业务调整允许的域名，不要随便用*
        config.addAllowedOrigin("http://your-frontend-domain.com");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        // 关键：把x-auth-token加入暴露列表
        config.addExposedHeader("x-auth-token");
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

方式二：JAX-RS 响应过滤器（如果用Jersey等实现）

如果你的API是基于JAX-RS实现的，可以写一个全局响应过滤器：

import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.ext.Provider;

@Provider
public class CorsResponseFilter implements ContainerResponseFilter {
    @Override
    public void filter(ContainerRequestContext requestContext, ContainerResponseContext responseContext) {
        responseContext.getHeaders().add("Access-Control-Allow-Origin", "http://your-frontend-domain.com");
        responseContext.getHeaders().add("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        responseContext.getHeaders().add("Access-Control-Allow-Headers", "Content-Type, Authorization");
        // 暴露自定义头给前端
        responseContext.getHeaders().add("Access-Control-Expose-Headers", "x-auth-token");
    }
}

2. 检查前端获取响应头的方式是否正确 #

即使后端配置正确，前端如果没有正确处理请求，也拿不到头：

• 如果用fetch：必须设置credentials: 'include'（跨域时），然后通过response.headers.get('x-auth-token')获取：

  fetch('/login', {
    method: 'POST',
    credentials: 'include', // 跨域时必须带这个，同域可省略
    body: JSON.stringify({username: "your-user", password: "your-pwd"}),
    headers: {'Content-Type': 'application/json'}
  }).then(response => {
    const token = response.headers.get('x-auth-token');
    console.log(token); // 现在应该能拿到了
    return response.json();
  });
  

• 如果用XMLHttpRequest：要设置xhr.withCredentials = true，然后用xhr.getResponseHeader('x-auth-token')：

  const xhr = new XMLHttpRequest();
  xhr.open('POST', '/login', true);
  xhr.withCredentials = true;
  xhr.setRequestHeader('Content-Type', 'application/json');
  xhr.onreadystatechange = () => {
    if(xhr.readyState === 4 && xhr.status === 200) {
      const token = xhr.getResponseHeader('x-auth-token');
      console.log(token);
    }
  };
  xhr.send(JSON.stringify({username: "your-user", password: "your-pwd"}));
  

3. 验证Spring Session的头配置是否正确 #

确认你的HttpSessionConfig里确实把会话头设置为x-auth-token了，别写错名称：

import org.springframework.session.web.http.HeaderHttpSessionStrategy;
import org.springframework.session.web.http.HttpSessionStrategy;
import org.springframework.context.annotation.Bean;
import org.springframework.session.jdbc.config.annotation.web.http.EnableJdbcHttpSession;

@EnableJdbcHttpSession
public class HttpSessionConfig {
    @Bean
    public HttpSessionStrategy httpSessionStrategy() {
        HeaderHttpSessionStrategy strategy = new HeaderHttpSessionStrategy();
        // 确保这里的头名称和你期望的一致
        strategy.setHeaderName("x-auth-token");
        return strategy;
    }
}

4. 排查代理/网关是否丢失响应头 #

如果你的服务前面有Nginx等代理服务器，要确认它没有过滤掉x-auth-token头。在Nginx配置里加上：

location / {
    proxy_pass http://your-backend-service;
    # 传递上游的x-auth-token头到前端
    proxy_pass_header x-auth-token;
    # 或者显式设置
    add_header x-auth-token $upstream_http_x_auth_token always;
}

先从跨域暴露头这个方向排查，这是最常见的原因，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者LimitX