Spring Security Cookie路径问题求助：WebSphere下跨应用Cookie覆盖

这问题我之前帮团队排查过类似的，WebSphere对Cookie路径的默认处理确实和Tomcat不一样，咱们直接来解决：

核心原因 #

Tomcat默认会把会话Cookie（比如JSESSIONID）的路径设置为应用的上下文路径（比如/app1），但WebSphere的默认配置是把Cookie路径设为根路径/，这就导致同域名下的两个应用共享了根路径的Cookie，登录一个应用时会覆盖另一个的Cookie。

解决方案一：通过Spring Security配置类指定Cookie路径 #

在每个应用的Spring Security配置里，手动指定Cookie的路径为当前应用的上下文路径，确保各自的Cookie只作用于自己的应用范围：

方法1：配置会话管理与Remember-Me Cookie路径 #

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .and()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
                .and()
            // 如果使用了Remember-Me功能，也要同步设置Cookie路径
            .rememberMe()
                .rememberMeCookieName("APP1_REMEMBER_ME") // app2可改为APP2_REMEMBER_ME
                .cookiePath("/app1") // app2对应设置为/app2
                .and()
            .csrf().disable(); // 根据实际需求开启/关闭
    }
}

方法2：全局自定义CookieSerializer #

这种方式可以统一管理所有Spring Security生成的Cookie路径，更简洁：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 自定义Cookie序列化器，指定路径
    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        serializer.setCookiePath("/app1"); // app2改为/app2
        serializer.setCookieName("APP1_JSESSIONID"); // 可选：给不同应用设置不同Cookie名，双重保险
        return serializer;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin();
    }
}

解决方案二：通过WebSphere控制台修改应用会话配置 #

如果你不想修改代码，也可以直接在WebSphere管理控制台调整：

• 登录WebSphere管理控制台，进入「应用程序」→「企业应用程序」
• 选择目标应用（app1或app2），点击「会话管理」
• 在「Cookie设置」区域，将「Cookie路径」修改为/app1（app2对应/app2）
• 保存配置后重启应用，新的会话Cookie就会使用指定的路径了

额外注意事项 #

• 确保两个应用的Cookie名称可以区分（比如分别用APP1_JSESSIONID和APP2_JSESSIONID），即使路径配置出问题，也能避免直接覆盖
• 检查所有自定义的Cookie（比如权限相关的Cookie），都要同步设置对应的应用路径
• 测试时打开浏览器开发者工具（F12），查看「Application」→「Cookies」，确认每个应用的Cookie路径是各自的上下文路径，而不是根路径/

内容的提问来源于stack exchange，提问作者stanicmail