Spring MVC 中使用 SSL 时设置 Cookie 的 Secure 和 SameSite 属性

Spring MVC 中使用 SSL 时设置 Cookie 的 Secure 和 SameSite 属性

本文将介绍如何在 Spring MVC 中使用 SSL 时始终将 Cookie 的 'secure' 属性设置为 'true'，并设置 SameSite 属性为 'lax'。

1. 配置 SecurityConfig

在 SecurityConfig 中添加以下代码，以启用 HTTPS 和配置安全设置：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .requiresChannel()
                    .anyRequest().requiresSecure() // 启用 HTTPS
                    .and()
                .csrf().disable()
                .sessionManagement()
                    .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                    .and()
                .authorizeRequests()
                    .antMatchers("/").permitAll()
                    .anyRequest().authenticated();
    }

    @Bean
    public HttpSessionIdResolver httpSessionIdResolver() {
        return HeaderHttpSessionIdResolver.xAuthToken();
    }

    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        serializer.setUseSecureCookie(true); // 将 Cookie 的 'secure' 属性设置为 'true'
        serializer.setSameSite("lax"); // 设置 SameSite 属性为 lax
        return serializer;
    }
}

2. 配置 SessionConfig

在 SessionConfig 中添加以下代码，用于设置 Cookie 属性：

@Configuration
public class SessionConfig {

    @Bean
    public HttpSessionIdResolver httpSessionIdResolver() {
        return HeaderHttpSessionIdResolver.xAuthToken();
    }

    @Bean
    public CookieSerializer cookieSerializer() {
        DefaultCookieSerializer serializer = new DefaultCookieSerializer();
        serializer.setUseSecureCookie(true); // 将 Cookie 的 'secure' 属性设置为 'true'
        serializer.setSameSite("lax"); // 设置 SameSite 属性为 lax
        return serializer;
    }
}

3. 配置 application.properties

在 application.properties 中添加以下配置，以启用 SSL：

server.ssl.enabled=true
server.ssl.key-store-type=JKS
server.ssl.key-store=keystore.jks
server.ssl.key-store-password=changeit
server.ssl.key-alias=tomcat

4. 测试

部署应用后，可以通过浏览器访问应用，检查 Cookie 的 'secure' 属性和 SameSite 属性是否被正确设置。

通过以上配置，您可以确保在使用 SSL 时，Cookie 的 'secure' 属性始终为 'true'，并设置 SameSite 属性为 'lax'，从而提高应用程序的安全性。