java - 如何重置 JSESSIONID

Question

在用户进行身份验证时重置 session cookie 被认为是一种良好的安全做法。

如何用 Java 做到这一点？

到目前为止我的尝试是成功的，但我想知道是否有更好的方法:

public static HttpSession resetSessionId(HttpSession session, 
      HttpServletRequest request) {
    session.invalidate();
    session = request.getSession(true);
    return session;
}

Answer 1

我只传递从中获取 session 的请求。如果一个 session 还不存在，那么仅仅为了使它无效而创建一个 session 是没有意义的。如果 session 刚刚由容器创建(由于用户第一个 http 请求直接在登录表单上)，这也适用。

public static ... (HttpServletRequest request) { 
    HttpSession session = request.getSession(false);
    if (session!=null && !session.isNew()) {
        session.invalidate();
    }