Spring安全会话：接收“Set-Cookie”标头但未在浏览器中设置

Question

我在试Spring保安

Set-Cookie: SESSION=NGJlYTkzODQtNTQzMy00NGIxLWEzOWYtYTc2MGNlZWY1OTJm; Path=/; HttpOnly; SameSite=Lax

但是在我对服务器的下一个请求中，没有在请求中自动设置cookie。顺便说一句，我在开发人员工具中看不到cookie，所以我认为它没有保存。

我在当地为前线工作

以下是有关后端的一些信息：

>

使用Spring MongoDb会话配置@EnableMongoHttpSession公共类会话配置{}

• 经典Spring Security配置

`@EnableWebSecurity公共类SecurityConfig扩展WebSecurity配置适配器{私有最终CustomAuthenticationProvider authProvider；

public SecurityConfig(CustomAuthenticationProvider authProvider) {
    this.authProvider = authProvider;
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(authProvider);
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .cors().and()
        .authorizeRequests()
        .anyRequest().authenticated()
        .and()
        .httpBasic(); //todo csrf
}

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Collections.singletonList("http://localhost:4200")); // todo properties by environment
    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "OPTIONS", "DELETE", "PUT", "PATCH"));
    configuration.setAllowedHeaders(Arrays.asList("X-Requested-With", "Origin", "Content-Type", "Accept", "Authorization"));
    configuration.setAllowCredentials(true);
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

}'

会话很好地保存在mongodb中，只是id没有保存在浏览器中。有什么想法吗？

编辑

在httpClient参数中设置观察员：“响应”时，我看不到Set-Cookie标头：

"cache-control： no-cache， no-store， max-age=0， obst-revalid-，content-type： apps/json， timetify： 0， pragma： no-cache"

但在开发人员工具中，我有：

HTTP/1.1 200变化：原点变化：访问控制请求方法变化：访问控制请求标头访问控制允许原点：http://localhost:4200访问控制允许凭据：true X-Content-Type-Options:nosniff X-XSS-Protection:1；模式=块缓存控制：无缓存，无存储，最大年龄=0，必须重新验证Pragma：无缓存过期：0 X-Frame-Options：拒绝设置Cookie：SESSION=YTEwOTNkNjAtZjI4MS00ZmM2LWExYmEtYzA5NzJhMjAyNTJh；路径=/；仅HTTPS；SameSite=Lax内容类型：应用程序/json传输编码：分块日期：2019年7月1日周一11:25:08 GMT

Answer 1

在后端创建CORS筛选器添加此

response.setHeader("Access-Control-Allow-Headers",
                "Date, Content-Type, Accept, X-Requested-With, Authorization, From, X-Auth-Token, Request-Id");
response.setHeader("Access-Control-Expose-Headers", "Set-Cookie");
response.setHeader("Access-Control-Allow-Credentials", "true");

Answer 2

问题是在角度方面！我添加了一个拦截器，添加了withCredentials参数，它可以正常工作。

@Injectable()
export class XhrInterceptor implements HttpInterceptor {

  intercept(req: HttpRequest<any>, next: HttpHandler) {
    const xhr = req.clone({
      withCredentials: true
    });
    return next.handle(xhr);
  }
}