java - 尽管跟踪模式 cookie，JBoss 7 仍将 JSESSIONID 附加到 URL

Question

是的，这是另一个“URL 中的 JSESSIONID”问题，但我一直找不到答案。我正在运行 JBoss AS 7.1.1 Final，这是我的 web.xml:

<web-app version="3.0"
  xmlns="http://java.sun.com/xml/ns/javaee"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="
    http://java.sun.com/xml/ns/javaee
    http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">

    <session-config>
        <cookie-config>
            <!-- Prevents session cookie from being read by clientside scripts -->
            <http-only>true</http-only>
            <!-- Prevents the session cookie from being transmitted on HTTP -->
            <!-- secure>true</secure-->
        </cookie-config>
        <tracking-mode>COOKIE</tracking-mode>
        <session-timeout>30</session-timeout>
    </session-config>

    <servlet>
        <servlet-name>appServlet</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <init-param>
            <param-name>contextConfigLocation</param-name>
            <param-value>com.cgi.dk.vias.web.config.WebConfig</param-value>
        </init-param>
        <init-param>
        <param-name>contextClass</param-name>
        <param-value>
            org.springframework.web.context.support.AnnotationConfigWebApplicationContext
        </param-value>
    </init-param>
        <load-on-startup>1</load-on-startup>
    </servlet>
    <servlet-mapping>
        <servlet-name>appServlet</servlet-name>
        <url-pattern>/</url-pattern>
    </servlet-mapping>
</web-app>

根据互联网搜索和 Stack Overflow 上的答案(例如 https://stackoverflow.com/a/11350819/224143)，我的理解是设置 <tracking-mode>COOKIE</tracking-mode>应该防止将 JSESSIONID 附加到 URL。但是，当我使用新的浏览器窗口(即没有现有的 cookie 或 session )浏览我的站点时，所有链接都在第一个响应中附加了 JSESSIONID。如果我刷新页面，JSESSIONID 就会消失，因为它进入了 cookie。

我知道我可以创建一个过滤器来删除它，但我宁愿尽可能避免篡改 html。

当然，我的浏览器支持 cookie，而且它们已启用。

是我理解的<tracking-mode>元素错误，还是我遗漏了什么？

Answer 1

如果您正在使用 spring security，那么您应该尝试设置 <http> 的 disable-url-rewriting 属性 元素为 true。

问候，