authentication - 是否可以从 servlet 过滤器中删除 SSL session ？

Question

我正在 servlet 过滤器中实现证书身份验证。我使用 httpRequest.getAttribute("javax.servlet.request.X509Certificate") API 获取客户端证书。当用户启动浏览器并首次访问 Web 服务器时，底层 SSL 会请求客户端证书，浏览器会提示选择证书。但是，在用户注销并且我已经使 HTTP session 无效后，如果用户没有关闭浏览器并返回到 Web 服务器，则底层 SSL 不会触发浏览器再次提示选择证书。我假设这是因为在用户从 HTTP 层的 Web 服务器注销后，SSL session 没有被拆除。我的问题是有没有办法使来自 servlet 的底层 SSL session 失效？一个更普遍的问题，如何让浏览器在用户从 Web 服务器注销后重新提示选择证书？

谢谢，帮派

Answer 1

My question is that is there a way to invalidate the underlying SSL session from the servlet?

您将不得不编写一个 Tomcat Valve，并且可能还需要更改一些 Tomcat 源代码。我深入了解了 Tomcat HTTPS/身份验证源代码的多个层次，但我还没有看到可以为您提供 SSLSession 的 Hook 。

A more general question, how can I get the browser to re-prompt for the cert selection after the user logs out from Web server?

使 SSL session 无效(如果可以的话)可能会也可能不会产生那种效果。我认为这将是特定于浏览器的。