如何为JSESSIONID Cookie开启SameSite？WildFly配置问题咨询

通用Java Web应用方案 #

如果你的应用遵循Servlet 3.0+规范，最灵活的方式是通过自定义Filter来修改JSESSIONID的属性：

• 先写一个Filter类，在请求处理时遍历Cookie，找到JSESSIONID并添加SameSite属性：

  public class SameSiteFilter implements Filter {
      @Override
      public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
          HttpServletResponse httpResponse = (HttpServletResponse) response;
          Cookie[] cookies = ((HttpServletRequest) request).getCookies();
          if (cookies != null) {
              for (Cookie cookie : cookies) {
                  if ("JSESSIONID".equals(cookie.getName())) {
                      // 根据需求选Strict、Lax或None，None必须配合Secure属性
                      cookie.setAttribute("SameSite", "Lax");
                      httpResponse.addCookie(cookie);
                  }
              }
          }
          chain.doFilter(request, response);
      }
  }
  

• 接着在web.xml里注册这个Filter，让它作用于所有请求：

  <filter>
      <filter-name>SameSiteFilter</filter-name>
      <filter-class>com.yourpackage.SameSiteFilter</filter-class>
  </filter>
  <filter-mapping>
      <filter-name>SameSiteFilter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>
  

WildFly服务器专属配置方案 #

你提到在standalone.xml的<servlet-container>里没找到SameSite相关标签，这是因为WildFly不同版本的支持方式不一样：

1. WildFly 19及以上版本 #

这个版本已经原生支持在session-cookie标签里配置SameSite，直接加个same-site属性就行，修改后的配置如下：

<servlet-container name="default">
    <session-cookie http-only="true" secure="true" same-site="Lax"/>
    <jsp-config/>
</servlet-container>

可选值有Strict（严格模式，完全禁止跨站携带）、Lax（宽松模式，允许部分跨站场景）、None（无限制，但必须搭配secure="true"，否则浏览器会拒绝这个Cookie）。

2. WildFly 18及以下版本 #

这些版本没有原生配置项，你有两个选择：

• 方案一：用上面的自定义Filter：直接在你的Web应用里添加Filter，不用改服务器配置，适合单个应用的需求。
• 方案二：全局修改Undertow配置：如果想让服务器上所有应用都生效，可以在standalone.xml的Undertow子系统里加一个Cookie处理器：

  <subsystem xmlns="urn:jboss:domain:undertow:10.0" default-server="default-server" default-virtual-host="default-host" default-servlet-container="default" default-security-domain="other">
      <server name="default-server">
          <host name="default-host" alias="localhost">
              <filter-ref name="same-site-cookie-filter"/>
          </host>
      </server>
      <filters>
          <filter name="same-site-cookie-filter" class-name="io.undertow.server.handlers.CookieAttributeHandler">
              <param name="cookieName" value="JSESSIONID"/>
              <param name="attributeName" value="SameSite"/>
              <param name="attributeValue" value="Lax"/>
          </filter>
      </filters>
  </subsystem>
  

  改完后重启WildFly，所有应用的JSESSIONID都会带上SameSite属性。

内容的提问来源于stack exchange，提问作者webyildirim