REST客户端基于CSRF Token与Cookie的认证失效问题排查

我来帮你排查这个头疼的问题，你遇到的错误通常和CSRF令牌的传递方式、Cookie有效性或者请求头的正确配置有关，咱们一步步拆解：

可能的原因及解决方案 #

1. 确认CSRF令牌的请求头名称是否匹配 #

很多系统的CSRF令牌头是有固定命名的，比如Spring Security常用X-CSRF-TOKEN，有些自定义系统可能用Csrf-Token或者其他专属名称。你代码里headers.set("...")这里的头字段名，必须和第三方API要求的完全一致，别凭感觉硬编码。

比如第三方要求用X-CSRF-TOKEN，那代码应该这么写：

headers.set("X-CSRF-TOKEN", "你从网页获取的CSRF令牌值");

2. 确保Cookie的完整性和有效性 #

从网页复制的Cookie往往是一组键值对（比如会话CookieJSESSIONID+CSRF令牌对应的Cookie），你是不是只传了其中一个？而且Cookie需要通过Cookie请求头传递，格式是key1=value1; key2=value2。

举个正确的示例：

headers.set("Cookie", "JSESSIONID=xxxxxxxxx; XSRF-TOKEN=yyyyyyyyy");

另外要注意：硬编码的Cookie可能已经过期了，网页的会话是有有效期的，建议重新从浏览器开发者工具（Network面板）里抓取最新的Cookie和CSRF令牌再测试。

3. 避免RestTemplate自动覆盖Cookie设置 #

有时候RestTemplate的自动Cookie管理会覆盖你手动设置的Cookie头，你可以通过以下方式强制传递自定义Cookie：

List<String> cookieList = new ArrayList<>();
cookieList.add("JSESSIONID=你的会话ID");
cookieList.add("XSRF-TOKEN=你的CSRF令牌");
headers.put(HttpHeaders.COOKIE, cookieList);

或者配置RestTemplate的ClientHttpRequestFactory，禁用自动Cookie处理，确保你设置的头完全被发送。

4. 检查请求方法是否符合要求 #

CSRF保护通常只对POST、PUT、DELETE这类修改型请求生效，如果你用GET请求还遇到这个错误，那可能第三方API的配置比较特殊，但先确认你调用的HTTP方法是否和第三方API的要求一致。

5. 验证令牌值是否完全正确 #

有时候从网页复制令牌时会不小心多了空格、少了字符，建议直接从浏览器Network面板里复制原始的CSRF令牌和Cookie值，别手动输入出错。

修改后的示例代码 #

public HttpHeaders buildHttpHeaders() {
    HttpHeaders headers = new HttpHeaders();
    headers.setContentType(MediaType.APPLICATION_JSON);
    // 替换为第三方API要求的CSRF令牌头名称
    headers.set("X-CSRF-TOKEN", "最新获取的有效CSRF令牌");
    // 传递完整的Cookie组合
    headers.set("Cookie", "JSESSIONID=最新会话ID; XSRF-TOKEN=最新CSRF令牌");
    return headers;
}

如果还是不行，建议先用Postman模拟请求，把正确的头和Cookie填进去，确认请求能成功后，再对照Postman的请求头来调整你的代码，这样更容易定位问题。

内容的提问来源于stack exchange，提问作者user3274140