java - JSESSIONID 是如何传递的？作为 header 参数还是作为 cookie 参数？

Question

用户通过认证后，该用户后续的请求无需再次认证。这是使用 JSESSIONID 实现的。
但我不确定的是，JSESSIONID 是如何传递的？作为 header 字段或作为 cookie 字段。或者由应用程序开发人员选择其中一种方法。

有人可以解释一下当使用 spring-security 进行身份验证和授权时这是如何工作的吗？

Answer 1

JSESSIONID 对于特定用户将是相同的，除非并且直到用户 session 被销毁。如果您想将相同的 session 设置回用户，您可以从 HttpServletRequest 获取 JSESSIONID 并将其设置为 HttpServletResponse。这就是内部发生的事情。

每个请求都与 session 相关联，并且您的应用程序将由具有不同 session 的不同用户访问。

如果在任何情况下您的用户的浏览器丢失了 JSESSIONID，但您希望他继续使用您的应用程序，则必须进行设置。

默认情况下，JSESSIONID 存储在您的 cookie 中，因此当您清除 cookie 时，您将从所有已登录的应用程序中注销。