url - Tomcat session 管理——url重写和从http切换到https

Question

我是 C 语言的老手，但 Java/Tomcat 的新手。

我对单独在 http 中的 Tomcat session 管理没意见。当我开始考虑切换到 https 时，我遇到了问题。

我为 Tomcat 收集的信息是，如果您想在从 http 切换到 https 再切换回 http 时保持 session ，则必须从 http session 开始。当浏览器启用 cookie 时，这对我来说很好用。

但是，当浏览器禁用 cookie 时(并且正在使用 URL 重写)，然后将 http 切换到 https 或再次返回会导致每次启动新的 session 。我假设这是安全问题。

问题 1 - 是否可能/需要使用 URL 重写来维持 http 和 https 之间的 session ？

Q2 - 如果不可能，那么电子商务开发人员对非 cookie 用户会做些什么？

我不想阻止非 cookie 用户使用我的网站。我确实想要在 http 和 https 之间灵活切换。

感谢您的帮助，史蒂文。

Answer 1

使用相同的 cookie 或 URL 标记来维护 HTTP 和 HTTPS 之间的 session 似乎并不可取。

想象一下您的用户登录的情况，在电子商务网站中为每个请求/响应来回传递给定的 cookie(或 URL token )。如果中间人能够读取该 cookie，他就可以使用它登录到网站的 HTTP 或 HTTPS 变体。即使合法用户随后通过 HTTPS 执行的操作，攻击者仍将能够访问该 session (因为他也将拥有合法 cookie)。他可以看到购物车、付款方式等页面，也许还可以更改送货地址。

在 HTTP session 和 HTTPS session (如果您正在使用 session )之间传递某种形式的 token 是有意义的，但是将它们视为一个并且相同会导致一些漏洞。在仅转换的查询参数中创建一次性 token 可能是一种解决方案。但是，您应该将它们视为两个单独的经过身份验证的 session 。

此漏洞有时会发生在使用混合 HTTP 和 HTTPS 内容的网站上(某些浏览器，如 Firefox 会在发生这种情况时向您发出警告，尽管大多数人倾向于在第一次弹出时将其禁用)。您可以将 HTTPS session cookie 用于主页，但该页面通过普通 HTTP 包含公司 Logo 的图像。不幸的是，浏览器会为两者发送 cookie(这样攻击者就可以获取 cookie)。我已经看到它发生了，即使有问题的图像甚至不存在(浏览器会将带有 cookie 的请求发送到服务器，即使它返回 404 not found)。