Tomcat 8.5响应头仅输出Set-Cookie问题排查（含Nginx反向代理）

嘿，针对你遇到的Tomcat响应头只能输出部分Set-Cookie字段的问题，结合你的Nginx反向代理+Tomcat8.5的架构，我整理了几个实用的排查和解决方向，你可以一步步试试：

一、先确认响应头获取的时机是否正确 #

响应头不是在请求处理的任何阶段都能完整拿到的！如果你是在过滤器的doFilter方法里直接调用response.getHeaderNames()，这时候Servlet或JSP的响应逻辑还没执行完，只有Set-Cookie这类提前设置的头会存在，其他头还没被添加进去。

正确的姿势是用**响应包装器（ResponseWrapper）**来捕获所有响应头，具体步骤：

1. 自定义一个继承HttpServletResponseWrapper的类，重写所有设置头的方法，把这些头存到一个集合里：

public class HeaderCaptureResponseWrapper extends HttpServletResponseWrapper {
    private final Map<String, List<String>> capturedHeaders = new HashMap<>();

    public HeaderCaptureResponseWrapper(HttpServletResponse response) {
        super(response);
    }

    @Override
    public void addHeader(String name, String value) {
        capturedHeaders.computeIfAbsent(name, k -> new ArrayList<>()).add(value);
        super.addHeader(name, value);
    }

    @Override
    public void setHeader(String name, String value) {
        capturedHeaders.put(name, Collections.singletonList(value));
        super.setHeader(name, value);
    }

    // 重写数字类型头的设置方法，保证所有头都被捕获
    @Override
    public void addIntHeader(String name, int value) {
        addHeader(name, String.valueOf(value));
    }

    @Override
    public void setIntHeader(String name, int value) {
        setHeader(name, String.valueOf(value));
    }

    public Map<String, List<String>> getCapturedHeaders() {
        return new HashMap<>(capturedHeaders);
    }
}

2. 在过滤器里使用这个包装器，并且一定要在`chain.doFilter(request（」 Claus/client（ devise<Tail天》 regardless前端代码块里的内容要正确，这里补充完整：

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HeaderCaptureResponseWrapper wrappedResp = new HeaderCaptureResponseWrapper((HttpServletResponse) response);
    // 先让请求往下走，执行完Servlet和JSP的逻辑
    chain.doFilter(request, wrappedResp);
    
    // 现在可以拿到完整的响应头了
    Map<String, List<String>> allHeaders = wrappedResp.getCapturedHeaders();
    // 输出到catalina.out
    for (Map.Entry<String, List<String>> entry : allHeaders.entrySet()) {
        System.out.printf("响应头：%s = %s%n", entry.getKey(), String.join(", ", entry.getValue()));
    }
    // 如果要在JSP里显示，可以把这个Map存到request属性里
    request.setAttribute("responseHeaders", allHeaders);
}

二、排查Nginx反向代理的影响 #

Nginx作为反向代理，默认会修改甚至隐藏一些响应头（比如把Tomcat的Server头换成自己的），如果启用了压缩，部分头的处理也会有变化。你可以先做个测试：

• 临时注释Nginx配置里的gzip on;相关压缩配置
• 注释proxy_hide_header、proxy_set_header这类修改头的指令
  然后直接访问Tomcat的端口（比如8080），看响应头是否能完整输出。如果这时候正常，那就是Nginx的锅，需要调整配置保留需要的头，比如在location块里添加：

# 保留Tomcat的Server头
proxy_pass_header Server;
# 保留所有X开头的自定义头，或者指定具体头名称
proxy_pass_header X-*;
# 确保Host头正确传递
proxy_set_header Host $host;

三、检查JSP中输出响应头的方式 #

如果是在JSP里直接遍历响应头，也要注意时机——如果JSP还没渲染完，部分头（比如Content-Length）还没被容器设置。建议用过滤器存到request里的头集合来显示，这样更可靠：

<%
    Map<String, List<String>> responseHeaders = (Map<String, List<String>>) request.getAttribute("responseHeaders");
    if (responseHeaders != null) {
        for (Map.Entry<String, List<String>> entry : responseHeaders.entrySet()) {
%>
            <p>响应头：<%= entry.getKey() %> = <%= String.join(", ", entry.getValue()) %></p>
<%
        }
    }
%>

四、排查Tomcat的配置限制 #

Tomcat8.5默认不会限制响应头，但如果你的应用或Tomcat全局配置了security-constraint或者自定义过滤器拦截了头，也可能导致问题。可以检查：

• 应用的WEB-INF/web.xml里有没有地.n激活 anytime卓 /***/ bin/n<p路边Man无法输出的头有没有被其他过滤器拦截
• Tomcatconf/web.xml里的http-header-security过滤器是否修改了头

内容的提问来源于stack exchange，提问作者Cristian Matthias Ambæk