java - 是否可以在 tomcat servlet 中禁用 jsessionid？

Question

是否可以关闭tomcat中url中的jsessionid？ jsessionid 似乎对搜索引擎不太友好。

Answer 1

您可以仅对使用此过滤器的搜索引擎禁用，但我建议对所有响应使用它，因为它比搜索引擎不友好更糟糕。它公开了可用于某些安全漏洞的 session ID ( more info )。

Tomcat 6(6.0.30 之前的版本)

您可以使用tuckey rewrite filter .

Example config对于塔基过滤器:

<outbound-rule encodefirst="true">
  <name>Strip URL Session ID's</name>
  <from>^(.*?)(?:\;jsessionid=[^\?#]*)?(\?[^#]*)?(#.*)?$</from>
  <to>$1$2$3</to>
</outbound-rule>

Tomcat 6(6.0.30 及更高版本)

您可以使用disableURLRewriting在上下文配置中禁用此行为。

Tomcat 7 和 Tomcat 8

来自Tomcat 7 onwards您可以在 session 配置中添加以下内容。

<session-config>
    <tracking-mode>COOKIE</tracking-mode>
</session-config>