java - JSESSIONID 的值在无效 session 时未更改

Question

我需要在 context.xml 文件中将 JSESSIONID 的域更改为“.something.com”:

<Context path="/test" sessionCookiePath="/" sessionCookieDomain=".something.com" useHttpOnly="true" />

之后，当我执行 httpSession.invalidate() 时， session 会重置，但 JSESSIONID 值不会更改。

我正在使用 Java 7、Spring MVC 和 Tomcat 7。我还尝试手动删除 JSESSIONID cookie，但似乎 Tomcat 或 Spring 不允许我更改它的值。

这可能很难对我的系统进行故障排除。我想知道是否可以在 Spring 或 Tomcat 中更改此行为。

Answer 1

我在Tomcat的文档中发现了问题:

"注意:一旦一个使用 sessionCookiePath="/"的 Web 应用程序获得 session ，同一主机中也配置了 sessionCookiePath="/"的任何其他 Web 应用程序的所有后续 session 将始终使用相同的 session ID。这持有即使 session 已失效并创建了一个新 session 。这使得 session 固定保护更加困难，并且需要自定义的、Tomcat 特定的代码来更改多个应用程序共享的 session ID。”

来源:http://tomcat.apache.org/tomcat-7.0-doc/config/context.html

问题与 cookie 路径有关，与域无关