Spring 4不同Controller方法HttpSession不一致的问题咨询

先看一下你给出的两个控制器代码：

SetUserController #

@Controller
public class SetUserController {
    @PostMapping("/setUser")
    public String setUser(@RequestBody User user, HttpSession session) {
        session.setAttribute("user", user);
        return "index";
    }
}

GetUserController #

@Controller
public class GetUserController {
    @GetMapping("/getUser")
    public String getUser(HttpSession session) {
        User user = (User)session.getAttribute("user");
        return "index";
    }
}

首先明确说：DispatcherServlet绝对不会为每个请求创建新的HttpSession对象。你遇到的/getUser拿到新会话的问题，根源在于会话跟踪的机制没有正常工作，和Tomcat 8的会话管理逻辑直接相关。

一、HttpSession的核心创建规则 #

服务器创建新HttpSession的唯一触发场景是：

• 请求中没有携带有效的JSESSIONID Cookie，或者携带的JSESSIONID对应的会话在服务器端已经失效、不存在。
• 如果请求带了有效的JSESSIONID，服务器会直接找到对应的会话实例返回，完全不会创建新的。

二、你的场景中可能的问题原因 #

结合Tomcat 8的环境，大概率是以下某一点导致/getUser请求没带上/setUser创建的会话ID：

• 请求的Cookie上下文不共享
  比如你用Postman发送/setUser，却用浏览器直接访问/getUser——这两个工具的Cookie池是完全隔离的，自然带不上之前的JSESSIONID，服务器只能创建新会话。如果是前后端分离的场景，前端发送/getUser请求时没配置withCredentials: true（比如Axios、Fetch），浏览器会自动忽略携带Cookie，导致会话断裂。
• Tomcat的会话Cookie配置异常
  检查Tomcat的context.xml，如果配置了secure="true"但你用的是HTTP协议（不是HTTPS），浏览器会拒绝保存这个Cookie；或者maxAge设置得过短，导致/setUser的会话还没等到/getUser请求就失效了。
• Spring MVC注入HttpSession的默认行为
  当你在控制器方法中直接注入HttpSession参数时，Spring默认会调用request.getSession(true)——意思是如果当前没有会话，就自动创建一个。这就是你看到isNew=true的直接原因，但本质还是/getUser没带上之前的会话ID，才触发了新会话的创建。

三、验证和修复方法 #

1. 先验证会话跟踪是否正常
   调用/setUser后，查看响应头里的Set-Cookie字段，确认有JSESSIONID=xxx的内容；然后看/getUser的请求头，检查是否携带了这个JSESSIONID Cookie。
2. 针对性修复
   • 同域场景：确保浏览器没有禁用Cookie，请求是在同一个浏览器上下文发送的（比如不要混用工具和浏览器）。
   • 跨域场景：前端设置withCredentials: true，后端配置Access-Control-Allow-Credentials: true，同时Access-Control-Allow-Origin要设为具体的前端域名（不能用*）。
   • Tomcat配置：调整context.xml中的Cookie属性，比如HTTP环境下把secure设为false，确保Cookie能被浏览器正常保存和携带。

内容的提问来源于stack exchange，提问作者ryoung