Spring WebFlux中CSRF Token存储于WebSession，负载均衡需开启粘性会话吗？

简单说：不一定非要开启粘性会话，但得有分布式Session共享机制兜底。

咱们来拆解下这里的逻辑：

• 首先，CSRF Token存在WebSession里时，核心问题是「用户后续请求能不能拿到之前生成的那个Token」。如果负载均衡把请求分发到了没有存储该用户Session的节点，新节点会生成新的Session和CSRF Token，这时候前端带着旧Token过来验证肯定失败。
• 粘性会话确实能解决这个问题——它让同一个用户的请求一直落到同一个节点，自然能拿到对应的Session和Token。但这是一种「妥协式」的方案：一旦这个节点挂了，用户的Session就丢了，而且也不利于集群的弹性伸缩。

更靠谱的方案是用Spring Session实现分布式WebSession共享：
Spring WebFlux完美兼容Spring Session，你可以把WebSession数据存在Redis、MongoDB这类共享存储里。不管用户的请求落到集群里哪个节点，都能从共享存储中拉取到正确的Session数据，包括里面的CSRF Token。这种方式不需要依赖粘性会话，集群的容错性和扩展性都会更好，是生产环境的首选。

当然，如果你的集群规模极小（比如只有2个节点），且能接受单点故障的风险，开启粘性会话也能凑合用，但长远来看还是分布式Session共享更稳妥。

内容的提问来源于stack exchange，提问作者mahanhz