session - ColdFusion session 与 J2EE session

Question

ColdFusion session 与 J2EE session 相比有什么优势吗？

ColdFusion session documentation提到了 J2EE session 的优点，但没有提及 ColdFusion session 的任何优点。 J2EE session 自 ColdFusion MX(2002 年发布)以来就已经可用，但仍然有很多人使用标准 ColdFusion session 。 J2EE session 是否存在 ColdFusion session 所没有的缺点？

J2EE session management provides the following advantages over ColdFusion session management:

• J2EE session management uses a session-specific session identifier, jsessionid, which is created afresh at the start of each session.
• You can share session variables between ColdFusion pages and JSP pages or Java servlets that you call from the ColdFusion pages.
• The Session scope is serializable (convertible into a sequence of bytes that can later be fully restored into the original object). With ColdFusion session management, the Session scope is not serializable. Only serializable scopes can be shared across servers.

Therefore, consider using J2EE session management in any of the following cases:

• You want to maximize session security, particularly if you also use client variables
• You want to share session variables between ColdFusion pages and JSP pages or servlets in a single application.
• You want to be able to manually terminate a session while maintaining the client identification cookie for use by the Client scope.
• You want to support clustered sessions; for example, to support session failover among servers.

Answer 1

使用 Java EE session cookie 没有严重的缺点，并且使用它们有一些优点，如您上面的问题所示。

Java EE token 的一个缺点是无法通过编程轻松修改 cookie。 CF代币可以。您可以将 CF token 修改为仅限 session 。您还可以将它们修改为仅 SSL 和 httpOnly。

您也可以将 Java EE token 设为 SSL-only 和 httpOnly，但它涉及 JVM 参数。

在 CF9 中，Adobe 还改进了 CF 代币的随机性，使其与 Java EE 代币更加接近。

我真的认为你使用哪一个并不重要(假设你使用的是 CF9 或更高版本)。但 Java EE token 是最接近开箱即用安全工作的。但是，如果您不想将 cookie 设置为“仅 session ”，而是仅使用 SSL 和 httpOnly，则需要深入研究 JVM 设置。您不能在 App.cfc 中执行此操作。