Apache Tomcat (6.x) SessionID 배치

Question

Tomcat (6.x)의 어떤 클래스가 세션 ID를 쿠키에 포함 시키거나 요청에 추가 할 책임이 있는지 알아야합니다. 모든 필터가 통과 된 후에이 작업이 수행됩니까? 응답이 브라우저로 전송되기 전에

나는

Answer 1

세션 ID는 톰캣 세션 관리자에 의해 설정됩니다 ... 세션 ID를 수정해야 - 다른 구현의 숫자가 있습니다. 앱을 실행하는 동안 세션 ID를 변경하면 세션 관리자가 가정 한 몇 가지 가정이 깨질 수 있습니다.

ID를 변경하려면 고유 한 세션 관리자를 구현해야합니다. 이를 수행하는 "표준"방법은 ManagerBase을 확장하는 것입니다. StandardManager을 확장하고 generateSessionId()을 재정의 할 수도 있습니다. 톰캣 사용자 정의 세션 관리자를 사용하여 얻으려면,

자신의 세션 ID를 생성 할 때 매우주의 수 server.xml의 Context 및 Manager 구성을 살펴 있습니다. 서버가 쿠키의 ID가 유효한지 여부는 알 수 없습니다. 침입자가 ID 순서를 추측 할 수 있으면 HTTP 클라이언트에서 쿠키 값을 설정하여 다른 사용자의 세션을 도용 할 수 있습니다.