WSO2 ESB中第三方认证Cookie会话的获取与跨端点调用问题

这种情况我之前对接第三方认证服务时也碰到过，WSO2 ESB在处理Cookie转发时确实有几个容易踩的坑，咱们一步步来排查解决：

1. 手动提取并转发Cookie（最常见的解决方案） #

WSO2 ESB默认不会自动把认证响应里的Set-Cookie头直接转发到后续请求，需要手动提取并设置：

• 首先从认证接口的响应中提取Set-Cookie值：

<!-- 从认证响应的Transport头中提取Set-Cookie -->
<property name="SESSION_COOKIE" expression="$trp:Set-Cookie" scope="default" type="STRING"/>

• 注意：Set-Cookie可能包含额外属性（比如Path/Domain/HttpOnly），如果第三方服务只需要核心的键值对，可以用正则提取：

<property name="SESSION_COOKIE" expression="fn:replace($trp:Set-Cookie, ';.*', '')" scope="default" type="STRING"/>

• 然后在调用搜索接口时，把提取到的Cookie设置到请求的Transport头中：

<property name="Cookie" expression="$ctx:SESSION_COOKIE" scope="transport" type="STRING"/>

2. 检查ESB的Cookie管理配置 #

如果想依赖ESB自动管理Cookie，需要确保HTTP传输层开启了Cookie支持：

• 打开ESB的repository/conf/axis2/axis2.xml，找到HTTPTransportSender配置，添加或修改参数：

<parameter name="enableCookie">true</parameter>

• 也可以在具体的代理服务/API的传输配置中单独开启，避免全局修改影响其他服务。

3. 排查Cookie的作用域限制 #

第三方返回的Cookie可能带有Path/Domain属性，导致ESB发起的请求不符合Cookie的生效条件：

• 先查看认证响应的Set-Cookie内容，比如是否包含Path=/auth，但你的搜索接口路径是/search；
• 如果是这种情况，要么让第三方调整Cookie的作用域，要么手动修改Cookie的属性（如果服务允许），或者确保ESB请求的路径和Cookie的Path匹配。

4. 验证会话绑定的额外因素 #

有些第三方服务会把Cookie和客户端IP、User-Agent绑定，ESB作为中间层发起请求时的标识和直接请求不同，导致Cookie失效：

• 可以在ESB的请求中设置和原客户端一致的User-Agent：

<property name="User-Agent" value="Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36" scope="transport" type="STRING"/>

• 如果是IP绑定问题，需要让第三方服务允许ESB的IP地址加入白名单。

5. 开启日志调试定位问题 #

建议在ESB的序列中添加日志，确认Cookie的提取和发送是否正常：

<!-- 打印认证响应的Set-Cookie -->
<log level="custom">
    <property name="AUTH_SET_COOKIE" expression="$trp:Set-Cookie"/>
</log>
<!-- 打印搜索请求的Cookie -->
<log level="custom">
    <property name="SEARCH_REQUEST_COOKIE" expression="$trp:Cookie"/>
</log>

通过日志可以快速定位是提取环节出错，还是发送时没有正确设置头信息。

内容的提问来源于stack exchange，提问作者Cris