Spring Security添加自定义Cookie——Servlet新手技术求助

你遇到的问题很典型——ServletContextInitializer是用来配置Servlet上下文的，它的回调方法里并没有HttpServletResponse对象，所以直接在这里创建并添加Cookie是行不通的。不过别担心，我们有几种优雅的方式来实现你想要的效果：

方案一：使用过滤器（Filter）全局添加Cookie #

过滤器可以拦截所有进入应用的请求，在响应返回给客户端之前添加Cookie，非常适合你需要在会话初始化时同时添加Cookie的场景。

首先创建一个自定义过滤器：

import javax.servlet.*;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomCookieFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        
        // 检查是否已经存在名为"hello"的Cookie
        boolean cookieExists = false;
        Cookie[] cookies = ((javax.servlet.http.HttpServletRequest) request).getCookies();
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                if ("hello".equals(cookie.getName())) {
                    cookieExists = true;
                    break;
                }
            }
        }
        
        // 如果不存在，添加目标Cookie
        if (!cookieExists) {
            Cookie helloCookie = new Cookie("hello", "world");
            helloCookie.setMaxAge(10 * 365 * 24 * 60 * 60); // 设置10年有效期
            helloCookie.setPath("/"); // 让Cookie在整个应用范围内生效
            httpResponse.addCookie(helloCookie);
        }
        
        chain.doFilter(request, response);
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

然后在你的WebSecurityConfigurer类里注册这个过滤器：

@Bean
public FilterRegistrationBean<CustomCookieFilter> customCookieFilter() {
    FilterRegistrationBean<CustomCookieFilter> registrationBean = new FilterRegistrationBean<>();
    registrationBean.setFilter(new CustomCookieFilter());
    registrationBean.addUrlPatterns("/*"); // 拦截所有请求
    return registrationBean;
}

方案二：在登录成功时添加Cookie #

如果你只需要在用户登录成功后添加这个Cookie，可以自定义一个AuthenticationSuccessHandler：

import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.AuthenticationSuccessHandler;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CustomLoginSuccessHandler implements AuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException {
        // 添加自定义Cookie
        Cookie helloCookie = new Cookie("hello", "world");
        helloCookie.setMaxAge(10 * 365 * 24 * 60 * 60);
        helloCookie.setPath("/");
        response.addCookie(helloCookie);
        
        // 重定向到登录成功后的默认页面
        response.sendRedirect("/user.html");
    }
}

接着在ApplicationSecurity类的configure(HttpSecurity http)方法中替换默认的成功处理器：

.formLogin()
    .loginPage("/login")
    .permitAll()
    .successHandler(new CustomLoginSuccessHandler()) // 替换为自定义处理器
    .failureUrl("/login?error=true")
    .permitAll()

为什么原来的方法行不通？ #

再补充说明一下：ServletContextInitializer的回调是在应用启动阶段执行的，此时还没有任何HTTP请求进入应用，自然没有HttpServletResponse对象可以用来添加Cookie。Cookie是HTTP响应的一部分，必须在处理具体请求的过程中才能被添加到响应里。

希望这些方案能帮你解决问题！

内容的提问来源于stack exchange，提问作者Priyanka Kanse