JSESSIONID를 다시 설정하는 방법

Question

사용자가 인증 할 때 세션 쿠키를 다시 설정하는 것이 좋습니다.

Java로 어떻게 할 수 있습니까?

나의 시도는 지금까지 성공하지만, 더 나은 방법이 있는지 궁금 해서요 :

public static HttpSession resetSessionId(HttpSession session, 
     HttpServletRequest request) { 
    session.invalidate(); 
    session = request.getSession(true); 
    return session; 
} 

Answer 1

답변이 최적 인 것 같습니다. 또 다른 방법은 직접 방식으로 cookes 및 조작하는 것입니다 :

Cookie cookie = new Cookie ("JSESSIONID", "randomValue"); 
cookie.setMaxAge(0); 

그래서 같은 이름으로 새 쿠키를 만들고 즉시 만료,하지만 당신은 훨씬 청소기이기 때문에 나는 이런 식으로가는을하지 않는 것이 좋습니다 기본적인 서블릿 API에 익숙한 사람이라면 누구나 쉽게 알 수 있습니다.

Answer 2

난 단지 내가 세션을 얻을 수있는 요청을 전달합니다. 세션이 아직 존재하지 않는다면 세션을 무효화하기위한 목적이 없습니다. 이는 세션이 사용자에 의해 처음으로 로그인 양식으로 요청 되었기 때문에 컨테이너에 의해 막 생성 된 경우에도 적용됩니다.

public static ... (HttpServletRequest request) { 
    HttpSession session = request.getSession(false); 
    if (session!=null && !session.isNew()) { 
     session.invalidate(); 
    } 

Answer 3

Tomcat (6.0.24 AFAIK 이후)은 표준 서블릿 인증 메커니즘 (기본 폼 기반 인증)을 사용하는 한 자동으로 인증시 sessionId를 변경할 수 있습니다. 이 기본 인증 자 밸브에 대한 changeSessionIdOnAuthentication를 통해 구성 할 수 있습니다 http://tomcat.apache.org/tomcat-6.0-doc/config/valve.html

Answer 4

또 다른 방법 (안 더 좋은 방법) 무작위로 새로운 현재 세션의 세션 ID를 변경합니다 'changeSessionId (existingSession를)'org.apache.catalina.session.StandardManager의 호출하는 것입니다 생성 된 세션 ID.

해당 메소드를 호출하려면 StandardManager Mbean을 사용해야합니다. 참조하시기 바랍니다 Tomcat MBeans

의사 코드 :

의 ObjectName contextObjectName = 새로운 ObjectName ("카탈 : 유형 = 관리자, 경로 =/어떤 호스트 = whateverhost");

mbeanServer.invoke (contextObjectName, "changeSessionId", 새 Object [] {세션}, 새 문자열 [] { "javax.servlet.http.HttpSession"});