前后端分离Cookie sameSite坑跨域之坑

心已赠人 2022-03-22 21:14 445阅读 0赞

在前后端分离解决跨域问题过程中，利用CORS解决跨域问题，前后端按照规范处理了，但不管怎样session都是不一致，所以前端无法登陆无法在本地测试。查了几天资料，中间反反复复，最后要放弃的时候无意中看到一个大神的博客。

本项目是使用spring-session-data-redis实现HTTP Session集中管理原理

SameSite Cookie 应该是一种新的cookie属性值,我看到很多大型网站如百度都没有用到，
    他是防止 CSRF 攻击 具体可看 https://www.cnblogs.com/ziyunfei/p/5637945.html
    
    spring web 最新版默认生成为SameSite=Lax,奇怪的是用spring-session-data-redis 后 cookie新增了 SameSite这个字段,所以不能携带cookie进行跨域post访问,文档上也不表明什么时候开始的，坑的是默认为Lax也不能设置,
    遂现在将web版本降级

因为服务端返回给客户端的set-cookie中带有samesite=lax，这就是问题的根源，它表示不能携带cookie进行跨域post访问，然而我们是需要携带cookie的

解决办法：

@Bean 
    public CookieSerializer httpSessionIdResolver(){ 
        DefaultCookieSerializer   cookieSerializer = new DefaultCookieSerializer();                                
        cookieSerializer.setCookieName("token"); 
        cookieSerializer.setUseHttpOnlyCookie(false); 
        cookieSerializer.setSameSite(null); 
        return cookieSerializer; 
    
    }

使用的pom依赖

<dependency>
                <groupId>org.springframework.session</groupId>
                <artifactId>spring-session-data-redis</artifactId>
                <version>2.1.1.RELEASE</version>
     </dependency>

前端在与后台交互时也得做如下的配置（ajax请求）

xhrFields: {
        withCredentials: true
    }

它让ajax能够携带cookie请求，后端需要设置

response.setHeader("Access-Control-Allow-Credentials", "true");

允许cookie跨域，这样就大功告成!!!