spring - 如何在 jetty 9 中禁用基于 JSESSIONID cookie(和任何其他)的 session 跟踪功能？

Question

我希望在 Jetty 9 中为我的无状态或手动维护状态 Spring MVC 应用程序禁用所有类型的 session 跟踪功能，但我没有找到任何显示如何执行此操作的工作示例。

我尝试了以下 /WEB-INF/spring-config.xml标签:

...
<security:http use-expressions="true"
               disable-url-rewriting="true"
               create-session="stateless">
...

连同以下 /WEB-INF/jetty-web.xml war 中的描述:

<?xml version="1.0"  encoding="UTF-8"?>
<!DOCTYPE Configure PUBLIC "-//Jetty//Configure//EN" "http://www.eclipse.org/jetty/configure.dtd">

<Configure class="org.eclipse.jetty.webapp.WebAppContext">
    <Get name="sessionHandler">
        <Get name="sessionManager">
            <Set name="usingCookies" type="boolean">false</Set>
        </Get>
    </Get>
</Configure>

但是每当我尝试打开我的应用程序的任何页面时，我仍然会收到 JSESSIONID cookie。任何提示为什么以及如何解决它？

Answer 1

使用 servlet 3，可以将 session 跟踪模式设置为 servlet 注册的一部分 - ServletContext#setSessionTrackingModes ……你可以试试。

但是在你的情况下，我会调查谁在打电话 HttpServletRequest#getSession(...) .在此方法中放置断点以查看谁在调用它。应用程序中的某些代码正在初始化 session 。