使用Silhouette时Play框架会话认证失效问题排查

看起来你遇到了Silhouette和Play Session配合的典型问题——控制台能打印出正常的Session对象，但浏览器收到的却是过期的空Cookie。结合你的代码和现象，我帮你梳理几个核心排查点和解决方案：

1. 修复SessionCookieBaker的默认配置缺陷 #

你初始化SessionAuthenticatorService时用了new DefaultSessionCookieBaker()的无参构造，这个默认实现的Cookie参数设置非常保守，甚至可能默认把maxAge设为负数（直接标记过期），这就是你看到Max-Age=-86400的直接原因。

建议显式配置Cookie的有效参数，替换默认的CookieBaker：

// 先定义Cookie的具体配置
val cookieSettings = SessionCookieBakerSettings(
  cookieName = "PLAY_SESSION",
  path = "/", // 确保覆盖全站路径
  domain = None, // 按需设置，比如你的业务域名
  secure = false, // 开发环境可以设为false，生产环境一定要开启true
  httpOnly = true, // 安全最佳实践，防止前端JS读取Cookie
  sameSite = SameSite.Lax,
  maxAge = Some(3600) // 设置1小时有效期，可根据业务需求调整
)
// 用配置好的settings创建CookieBaker
val sessionCookieBaker = new DefaultSessionCookieBaker(cookieSettings, clock)

然后把这个配置后的sessionCookieBaker传入SessionAuthenticatorService的构造函数，替换原来的无参实例。

2. 验证Authenticator编码是否正常 #

控制台打印的Session里有完整的authenticator字段值，但如果你的authenticatorEncoder密钥配置错误，会导致编码后的内容无法被正确解析，Silhouette会自动放弃设置有效Cookie，转而发送过期空Cookie。

检查你的authenticatorEncoder初始化，确保使用足够强度的密钥：

// 密钥要满足算法要求，比如HMAC-SHA256需要至少32字节的密钥
val authenticatorEncoder = new JcaAuthenticatorEncoder("your-32-byte-or-longer-strong-secret-key-here")

如果密钥长度或格式不符合要求，编码/解码过程会静默失败，这是非常常见的隐性问题。

3. 重构代码逻辑，避免隐性异常被吞掉 #

你当前的多层flatMap嵌套虽然能实现功能，但一旦中间步骤抛出异常，很容易被忽略。建议改用for推导式重构，同时添加错误日志，快速排查是否有异常：

val resultFuture = for {
  authenticator <- silhouette.env.authenticatorService.create(loginInfo)
  securityToken <- silhouette.env.authenticatorService.init(authenticator)
  _ = println("adding security token: ", securityToken)
  result <- silhouette.env.authenticatorService.embed(securityToken, Ok(Json.toJson(JsonResultSuccess("found user"))))
} yield result

// 添加错误捕获，打印异常信息便于排查
resultFuture.recover {
  case e: Exception => 
    println(s"Authenticator处理出错: ${e.getMessage}")
    e.printStackTrace()
    InternalServerError
}

这样能快速发现初始化或嵌入过程中是否有异常，比如Authenticator过期、编码失败等。

关于客户端Cookie覆盖的疑问 #

你的理解是完全正确的：只要新Cookie的name、path、domain和旧Cookie完全匹配，浏览器就会用新Cookie覆盖旧的。但如果新Cookie是过期状态（比如Max-Age=-86400），浏览器会直接删除这个Cookie，这就是你看到旧Cookie没被覆盖、Session为空的原因。

额外检查点 #

• 确认clock实例是DefaultClock()，如果服务器时钟偏移过大，会导致Authenticator被判定为过期，进而生成空Cookie。
• 检查application.conf中的Play全局Session配置，比如play.http.session.cookie.name、play.http.session.maxAge等，这些全局配置会覆盖Silhouette的Cookie设置。

内容的提问来源于stack exchange，提问作者Manu Chadha