axios（ajax），springboot 跨域携带session

最新推荐文章于 2023-11-10 11:01:33 发布

Qc1998

最新推荐文章于 2023-11-10 11:01:33 发布

阅读量2.4k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： springboot 文章标签：跨域 session springboot axios ajax

本文链接：https://blog.csdn.net/Qc1998/article/details/100186116

springboot 专栏收录该内容

1 篇文章

订阅专栏

前端使用axios或jQuery的ajax进行跨域请求时，由于默认不携带cookie导致后端无法获取sessionId。解决方法包括在前端设置withCredentials: true，如在axios中配置。后端需设置Access-Control-Allow-Credentials为true，并且Access-Control-Allow-Origin需为具体域名而非*。在遇到因SameSite问题导致session丢失时，可调整Spring Web的SameSite策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前端发送跨域请求时默认是不会携带cookie的，后端无法获得sessionId。要解决这一问题，前后端配置分别如下

前端配置

前端通过设置withCredentials: true来解决。如果是在vue中使用axios，需要设置

axios.defaults.withCredentials = true

如果使用的是jQuery的ajax方法

$.ajax({
    url : 'xxxx',
    type : 'GET',
    xhrFields : {
        withCredentials : true
    },
    crossDomain : true,
    
    ...

})

后端配置

后端需要设置Access-Control-Allow-Credentials，但是需要注意的是，如果将Access-Control-Allow-Credentials设置为true，那么Access-Control-Allow-Origin就必须是具体的值，不能用 *，开发过程中可以通过获取当前请求的域名动态设置Access-Control-Allow-Origin的值来代替 * 的效果。

String originHeader = req.getHeader("Origin");
res.setHeader("Access-Control-Allow-Origin", originHeader);
res.setHeader("Access-Control-Allow-Credentials", "true");
res.setHeader("Access-Control-Allow-Methods", "*");
res.setHeader("Access-Control-Max-Age", "86400");
res.setHeader("Access-Control-Allow-Headers","Timestamp,Origin, No-Cache, X-Requested-With, If-Modified-Since, Pragma, Last-Modified, Cache-Control, Expires, Content-Type, X-E4M-With,userId,token,Access-Control-Allow-Headers");

可能遇到的坑

我将前后端都配置完成后，后端依然没有获取到前端的 sessionId, 苦苦寻找解决方案，发现是 SameSite 导致的，新版本的spring web 默认启用了 SameSite 。解决方案：

@Configuration
public class SpringSessionConfig {

  public SpringSessionConfig() {
  }

  @Bean
  public CookieSerializer httpSessionIdResolver() {
    DefaultCookieSerializer cookieSerializer = new DefaultCookieSerializer();
    cookieSerializer.setSameSite(null);
    return cookieSerializer;
  }
}