java - Tomcat 能否为 HTTPS 请求提供单独的(或仅 HTTPS) session ？

Question

我有一个网络应用程序，其中包含安全 (SSL) 和非安全页面。

用户可以登录该网站，并且必须在 SSL 和非 SSL 区域都显示为已登录。

(注意。SSL 不是通过 Tomcat 实现的，而是通过位于 Tomcat 前面的 Apache HTTPD 服务器实现的 - 因此 Tomcat 没有 SSL 配置。)

登录状态当前通过 servlet session (使用 Tomcat 的普通 session 管理)维护。

这种方法的明显问题是 JSESSIONID cookie 通过 HTTP 和 HTTPS 连接传输，这意味着它有可能拦截它并劫持 session 。

在不滚动我们自己的 session 管理的情况下是否有任何解决方案(即 Tomcat 是否适合这种情况)？

我准备实现我们自己的 session 管理，但不想重新发明可能已经受支持的东西。

Answer 1

你说SSL是在Apache服务器上实现的，并没有下传给Tomcat，所以Tomcat把整个旅程都当成HTTP？如果是这样，Tomcat 将不会创建单独的 JSESSIONID，因为它不知道 HTTPS。

您可以检查 request.getUserPrincipal() 以查看用户是否已登录。